akceptacja accept Reakcja na ryzyko oznaczająca, że organizacja nie podejmuje żadnych działań i godzi się z przyjęciem na siebie wszystkich skutków ewentualnej materializacji takiego ryzyka. bliskość (ryzyka) proximity (of risk) Parametr czasowy ryzyka wskazujący na konkretny czas kiedy ryzyko może się zmaterializować i to, że istotność ryzyka może zależeć od momentu, w którym się zmaterializuje. charakter ryzyka risk event Opis obszaru niepewności w kategoriach zagrożeń lub okazji. CRAMM CRAMM (Corporate Risk Analysis and Management Method) Sformalizowana metoda analizy ryzyka związanego z bezpieczeństwem systemów IT, opracowana pierwotnie przez CCTA (obecnie część OGC) we współpracy z organizacjami z sektora prywatnego. 1
dyrektor finansowy accounting officer Rola, która występuje w sektorze publicznym*. Osobiście odpowiada za poprawność i prawidłowość finansów, które jej powierzono; za utrzymywanie odpowiednich ksiąg; za rozważne i ekonomiczne administrowanie; za unikanie strat i ekstrawagancji; oraz za wydajne i efektywne wykorzystanie zasobów. Pociąga to za sobą odpowiedzialność za zagadnienia związane z ładem, włączając w to kuratelę nad zarządzaniem ryzykiem i jego przyjęciem w organizacji. dziennik ryzyka risk log Patrz rejestr ryzyka. * W Polsce rola ta ma różne nazwy w zależności od rodzaju jednostki, której dotyczy stąd tłumaczenie tej roli jako Kierownik urzędu przyp. tłum. efekt ryzyka risk effect Opis wpływu, jaki ryzyko będzie miało na dane przedsięwzięcie, gdyby się zmaterializowało. ekspozycja na ryzyko risk exposure Całość ryzyka, jakie ciąży nad organizacją w danym momencie. eliminacja avoid Reakcja na ryzyko zmierzająca do całkowitej eliminacji zagrożenia i uczynienia sytuacji niepewnej, pewną. 2
ewaluacja ryzyka risk evaluation Proces prowadzący do określenia całkowitego efektu netto oddziaływania wszystkich zidentyfi kowanych zagrożeń i okazji w sytuacji, gdyby wszystkie miały się zmaterializować. grupa sponsorująca sponsoring group Główna siła decyzyjna stojąca za programem, podejmująca decyzje inwestycyjne i akceptująca z wysokiego poziomu uzasadnienie i cele programu. grupa zadań work package Zestaw informacji potrzebny do wytworzenia jednego lub więcej produktów. Zawiera opis prac, opisy produktów, ograniczenia związane z realizacją i potwierdzenie uzgodnień między kierownikiem projektu i osobą lub kierownikiem zespołu, który ma zrealizować grupę zadań, że praca może być wykonana w ramach ograniczeń. identyfikacja ryzyka risk identification Przesądzanie co może prowadzić do ryzyka; proces zbierania I opisu źródeł ryzyka (zagrożeń i okazji). interesariusz stakeholder Pojedyncza osoba, grupa lub organizacja, która może wpływać, jest pod wpływem lub uważa, że jest pod wpływem danego przedsięwzięcia (programu, projektu, działania, ryzyka). istotność ryzyka severity of risk Poziom, do jakiego ryzyko może wpłynąć na daną sytuację. 3
kluczowy wskaźnik key performance indicator W skrócie KPI. Miara efektywności pomagająca określić i weryfikować postępy efektywności na drodze do realizacji celów organizacji. komitet ds. audytu audit committee Ciało składające się z niezależnych dyrektorów, odpowiedzialne za monitorowanie integralności sprawozdań finansowych firmy; efektywności wewnętrznego audytu; niezależności i obiektywności audytorów zewnętrznych i efektywności procesu audytu. komitet ds. ryzyka risk committee Ciało składające się z niezależnych dyrektorów, odpowiedzialne za przeglądy systemów wewnętrznego audytu i zarządzania ryzykiem w firmie. korzyści benefits Mierzalna poprawa będąca skutkiem uzyskanych wyników, postrzegana jako zaleta przez jednego lub większą liczbę interesariuszy. linia tolerancji na ryzyko risk tolerance line Linia wykreślona na sumarycznym profilu ryzyka. Ryzyko, które pojawia się powyżej tej linii nie może być zaakceptowane (nie można z nim pozostać) bez zaraportowania do wyższego poziomu zarządzania. W przypadku projektu, kierownik projektu będzie raportował takie ryzyko do właściciela projektu. ład korporacyjny corporate governance Nieprzerwane utrzymywanie wiarygodnego systemu wewnętrznej kontroli, dzięki której zarząd i kierownictwo organizacji, utrzymują efektywny system zarządzania, włączając w to monitorowanie finansów i systemy decyzyjne, pozwalające ochraniać aktywa i reputację oraz utrzymywać zdolność organizacji do generowania zysku. 4
mapa interesariuszy stakeholder map Schematyczne przedstawienie interesariuszy dla danego przedsięwzięcia i obszarów ich zainteresowań. menedżer ds. ryzyka risk manager Rola lub osoba odpowiedzialna za wdrożenie zarządzania ryzykiem w każdym przedsięwzięciu na każdym poziomie organizacji. obserwacja horyzontu zdarzeń ocena poziomu ryzyka horizon scanning risk potential assessment (RPA) Systematyczne badanie i określanie możliwych kierunków rozwoju potencjalnych zagrożeń, okazji znajdujących się na granicy naszych możliwości obserwacyjnych, gdzie planowanie staje się bardzo niepewne. Standardowy zestaw wysoko poziomowych kryteriów, w odniesieniu do których są oceniane wewnętrzne charakterystyki i poziom trudności proponowanego projektu. W Wielkiej Brytanii, w sektorze publicznym, ocena ta jest dokonywana w celu określenia krytyczności projektu a tym samym wymaganego poziomu przeglądów kontynuacyjnych OGC Gateway Review. OGC Gateway Reviews OGC Gateway Reviews TM Niezależne przeglądy nadzorcze głównych (wysokie ryzyko) projektów Rządu Brytyjskiego. Są one obowiązkowe i dokonywane w kluczowych punktach cyklu życia projektu. Zobacz szczegóły na www.ogc.gov.uk. okazja opportunity Niepewne zdarzenie, które jeżeli by się zmaterializowało, będzie miało korzystny wpływ na cele lub korzyści. 5
opis procesu zarządzania risk management process Opis serii kroków (od identyfikacji aż do wdrożenia) i związanych z nimi działań, ryzykiem guide koniecznych do wdrożenia zarządzania ryzykiem. osoba odpowiedzialna za zagadnienie oświadczenie o kontroli wewnętrznej issue actionee statement of internal control (SIC) Rola lub osoba odpowiedzialna za zarządzanie i sterowania wszystkimi aspektami poszczególnych zagadnień, włączając w to przeprowadzenie działań podjętych w odpowiedzi na każde z zagadnień. Oświadczenie rady dyrektorów firmy, potwierdzające, że istnieje ciągły proces identyfikacji i zarządzania znaczącym ryzykiem, przed którym stoi firma. oszacowanie ryzyka risk estimation Ocena prawdopodobieństwa i skutku każdego ryzyka przy uwzględnieniu obowiązujących standardów, dopuszczalnych poziomów ryzyka, współzależności i innych związanych czynników. plan awaryjny fallback plan Zobacz plan rezerwowy. plan komunikacji communications plan Plan działań związanych z komunikacją w trakcie przedsięwzięcia (obszar strategiczny, program, projekt, działalność operacyjna), który należy zbudować i utrzymywać. Zazwyczaj zawiera odpowiedzi na pytania kiedy, co, jak i z kim wymieniana jest informacja. plan rezerwowy contingency plan Plan który będzie wykorzystany jeżeli zajdzie taka potrzeba, np. jeżeli reakcja na ryzyko nie przyniesie rezultatów. Często występuje pod nazwą plan awaryjny. 6
plan utrzymania ciągłości business continuity plan Plan szybkiego i efektywnego wznowienia podstawowych funkcji biznesowych działalności biznesowej (BCP) poprzez sterowanie działaniami określonego zespołu kryzysowego. planowanie wyjścia z katastrofy polityka zarządzania ryzykiem disaster recovery planning risk management policy Seria procesów dotycząca procesu wychodzenia z katastrofy, głównie w reakcji na fizyczną katastrofę. Działanie to jest częścią planowania utrzymania ciągłości działalności biznesowej i w żadnym razie go nie zastępuje. Wysoko poziomowa deklaracja pokazująca, jak będzie realizowane zarządzanie ryzykiem w organizacji. postrzeganie ryzyka risk perception Sposób, w jaki interesariusz postrzega ryzyko, wynikający z przyjętych wartości lub obaw. poziom dojrzałości maturity level Dobrze określony ewolucyjny poziom wskazujący na osiągnięcie odpowiedniej dojrzałości procesów (zazwyczaj specyfikuje się pięć poziomów: procesy początkowe, powtarzalne, zdefiniowane, zarządzane i optymalizowane). prawdopodobieństwo probability Szacowana szansa na materializację konkretnego zagrożenia lub okazji, włączając w to rozważania dotyczące częstości, z jaką może się to wydarzać. produkt product Element wejściowy lub wyjściowy, materialny lub niematerialny, który może być zawczasu opisany, wytworzony i testowany. Często określany jako rezultat lub przedmiot dostawy. 7
profil ryzyka risk profile Opisuje typy ryzyka stojące przed organizacją i jej ekspozycję na to ryzyko. program programme Tymczasowa, elastyczna struktura organizacyjna stworzona do koordynacji, kierowania i nadzoru nad przeprowadzeniem zestawu powiązanych projektów i działań, w celu osiągnięcia odpowiednich celów i korzyści związanych z celami strategicznymi organizacji. Program zazwyczaj trwa kilka lat. projekt project Tymczasowa organizacja powołana w celu dostawy jednego lub większej liczby produktów biznesowych zgodnie z określonym uzasadnieniem biznesowym. przeglądy kontynuacyjne gateway reviews Niezależne przeglądy związane z nadzorem przeprowadzane w kluczowych punktach decyzyjnych cyklu życia programu lub projektu. przeniesienie transfer Reakcja na ryzyko, w ramach której trzecia strona bierze odpowiedzialność za dany aspekt ryzyka. przybliżenie enhance Reakcja na ryzyko będące okazją prowadząca do zwiększenia prawdopodobieństwa i/lub uczynienia wpływu bardziej pewnym. przyczyna ryzyka risk cause Opis źródła ryzyka, to znaczy wydarzenia lub sytuacji, która stwarza ryzyko. przygotowanie planów rezerwowych contingency planning Proces identyfikacji i zaplanowania odpowiednich działań, które zostaną powzięte jeżeli ryzyko się zmaterializuje. 8
reakcja na ryzyko risk response Działania, jakie mogą być podjęte w celu doprowadzenia do sytuacji, w której ekspozycja na ryzyko organizacji jest dla niej akceptowalna. Wyróżnia się kilka rodzajów takich reakcji. redukcja reduce Reakcja na ryzyko będące zagrożeniem zmierzająca do zmniejszenia prawdopodobieństwa i/lub wpływu. rejestr ryzyka risk register Zapisy dotyczące wszystkich zidentyfikowanych zagrożeń i okazji dotyczących danej inicjatywy, włączając w to ich status i historię. Często określany jako dziennik ryzyka. rezultat outcome Rezultat zmiany, zazwyczaj wpływający na rzeczywiste zachowania lub okoliczności, Rezultaty są oczekiwaniami w stosunku do inicjowanej zmiany. Rezultaty są uzyskiwane w wyniku działań podjętych w celu przeprowadzenia zmiany. ryzyko risk Niepewne zdarzenie lub zbiór niepewnych zdarzeń, które, jeżeli by zaszły, to wpłyną na osiągalność celów. Ryzyko jest mierzone kombinacją prawdopodobieństwa materializacji przewidywanego zagrożenia lub okazji i stopnia ich ewentualnego oddziaływania na cele. ryzyko biznesowe business risk Porażka w realizacji celów/korzyści biznesowych. 9
ryzyko dopuszczalne risk capacity Maksymalny poziom ryzyka, jaki organizacja lub jej część może ponosić w połączeniu z takimi czynnikami, jak reputacja, kapitał, aktywa lub zdolność do pozyskiwania dodatkowych funduszy. ryzyko inherentne inherent risk Ekspozycja na ryzyko pochodząca z konkretnego zagrożenia lub okazji zanim jakiekolwiek działania w związku z tym ryzykiem zostały podjęte. ryzyko operacyjne operational risk Porażka w realizacji biznesowych/organizacyjnych celów na skutek błędu człowieka, awarii systemu i/lub nieodpowiedniej procedury i kontroli. ryzyko rezydualne (pozostałe) residual risk Ryzyko pozostałe po tym, jak reakcja na ryzyko została w sposób udany przeprowadzona. ryzyko strategiczne strategic risk Ryzyko związane z tym, gdzie chce się znaleźć organizacja, jaki ma plan żeby się tam dostać i jak potrafi ona zapewnić sobie przetrwanie. ryzyko tolerowane risk appetite Poziom ryzyka, jaki organizacja lub jej część jest gotowa zaakceptować. ryzyko w programie programme risk Ryzyko związane z transformacją wysokopoziomowej strategii w nowe sposoby pracy, dające wymierne korzyści dla organizacji. 10
ryzyko w projekcie project risk Ryzyko w projekcie jest związane z jego udaną realizacją. Zazwyczaj ryzyko będzie się odnosiło do personelu, zagadnień technicznych, kosztu, harmonogramu, zasobów, wsparcia operacyjnego, jakości i zagadnień związanych z dostawcami. sponsor sponsor Główna siła napędowa stojąca za programem lub projektem. strategia zarządzania ryzykiem risk management strategy Opisuje cele związane z wdrożeniem zarządzania ryzykiem w danym przedsięwzięciu, proces, jaki zostanie przyjęty, role i zakresy odpowiedzialności, progi tolerancji na ryzyko, harmonogram działań związanych z ryzykiem, produkty, stosowane narzędzia i techniki oraz wymagania odnośnie raportowania. Strategia może również wskazywać, jak proces będzie koordynowany i innymi działaniami zarządczymi. szkoda dis-benefit Wynik postrzegany, przez jednego lub większą liczbę interesariuszy, negatywnie. Szkoda jest aktualną i już istniejącą konsekwencją działania, podczas gdy ryzyko, z definicji zawiera w sobie element niepewności co do jego materializacji. tolerancja na ryzyko risk tolerance Progowe poziomy ekspozycji na ryzyko, których przekroczenie jest możliwe ale wymaga odpowiedniej akceptacji, a fakt ich przekroczenie wyzwala określone reakcje (np. zaraportowanie sytuacje do wyższego kierownictwa). 11
utrzymanie ciągłości działalności biznesowej business continuity management (BCM) Całościowy proces zarządczy identyfikujący potencjalny wpływ zagrożeń stojących przed organizacją, tworzący zasady budowy odporności organizacji z możliwością efektywnego reagowania chroniącego interesy jej kluczowych interesariuszy, reputację, markę i działania tworzące wartość. Zarządzanie wznowieniem lub utrzymaniem działalności w przypadku katastrofy. Również i zarządzanie całością procesu poprzez szkolenia, treningi i przeglądy, aby plany utrzymania ciągłości działalności biznesowej były zawsze. uzasadnienie biznesowe business case Ocena przedsięwzięcia w organizacji (obszar strategiczny, program, projekt, działalność operacyjna), zawierająca zazwyczaj koszty, korzyści, ryzyko i harmonogramy, służąca do ciągłego badania zasadności przedsięwzięcia. wartość oczekiwana expected value Liczona jako iloczyn szacowanego średniego wpływu i szacowanego w procentach prawdopodobieństwa. Często używany jest termin, wartość oczekiwana w pieniądzu, kiedy średnim oczekiwanym wpływem jest koszt. właściciel przedsięwzięcia (SRO) senior responsible owner (SRO) Pojedyncza osoba w całości odpowiedzialna za to, że projekt lub program realizuje cele i dostarcza spodziewane korzyści. właściciel ryzyka risk owner Rola lub osoba odpowiedzialna za zarządzanie i kontrolę wszystkich aspektów poszczególnych zagrożeń i okazji w tym za przeprowadzenie działań podejmowanych wobec każdego ryzyka. 12
właściciel zmiany biznesowej business change manager Rola odpowiedzialna za zarządzanie korzyściami, począwszy od identyfikacji poprzez realizację aż po wdrożenie i zagnieżdżenie nowych możliwości stworzonych przez projekty. Rola jest zazwyczaj alokowana do więcej niż jednej osoby. Alternatywna nazwa to: agent zmian. wpływ impact Wpływ jest rezultatem ewentualnej materializacji konkretnego zagrożenia lub okazji. wskaźnik wczesnego ostrzegania early warning indicator W skrócie zapisywany jako EWI. Bieżący wskaźnik odnoszący się do celu organizacji, mierzonego ostatecznie kluczowym wskaźnikiem efektywności (KPI). współdzielenie share Reakcja na ryzyko. Nowatorskie podejście do zawierania kontraktów, zazwyczaj wiążące się ze współdzieleniem ryzyka opartym na zasadzie strata/zysk, w której obie strony dzielą się zyskiem (w ramach uzgodnionych ograniczeń), jeżeli koszty będą mniejsze niż planowane, ale również dzielą się startą (w ramach uzgodnionych ograniczeń), jeżeli koszty będą większe niż planowane. wykonawca reakcji na ryzyko risk actionee Niektóre działania mogą znajdować się poza bezpośrednią kontrolą właściciela ryzyka. W takim przypadku, aby zaadresować ryzyko, powinien zostać mianowany wykonawca takich działań. Osoba ta powinna informować właściciela ryzyka o rozwoju sytuacji. 13
wykorzystanie exploit Reakcja na ryzyko będące okazją, zmierzającą do uczynienia sytuacji niepewnej, pewną. wynik output Wytworzony materialny lub niematerialny artefakt, skonstruowany lub zbudowany w rezultacie zaplanowanych działań. wynikowy profil ryzyka summary risk profile Prosty mechanizm poprawiający percepcję ryzyka. Jest to graficzna reprezentacja informacji zawartej normalnie w założonym rejestrze ryzyka. zagadnienie issue Związane z działaniami wydarzenie, które już zaszło, nie było planowane i którym trzeba zarządzić. Może to być problem, korzyść, zapytanie, obawa, żądanie zmiany lub ryzyko, które się właśnie zmaterializowało. zagrożenie threat Niepewne zdarzenie, które może mieć negatywny wpływ na cele lub korzyści. zapewnienie jakości quality assurance Zapewnienie, że produkty będą zgodne z przeznaczeniem lub spełnią wymagania. zarządzanie ryzykiem management of risk Systematyczne stosowanie pryncypiów, podejścia i procesu do zadań identyfikacji i oceny ryzyka oraz planowania i wdrażania działań adresujących ryzyko. W rezultacie otrzymujemy środowisko, w którym podejmowane są decyzje o charakterze proaktywnym. 14
zarządzanie ryzykiem risk management Systematyczne stosowanie polityki, procedur, metod i praktyk w stosunku do zadań związanych z identyfikacją i oceną ryzyka, a w konsekwencji planowaniem i wdrażaniem reakcji na ryzyko. 15