TOGAF ADM: 10 najważniejszych technik – Część 9: Zarządzanie ryzykiem

Zarządzanie ryzykiem w EA

Ryzyka są nieuniknione w każdym projekcie architektury lub transformacji biznesowej, a kluczowe jest ich identyfikowanie, kategoryzowanie i ograniczanie przed rozpoczęciem procesu transformacji. Skuteczne zarządzanie ryzykiem wymaga ciągłych starań o monitorowanie i śledzenie ryzyk przez cały proces transformacji, nawet jeśli sygnały ryzyka znajdują się poza zakresem planistów.

Warto podkreślić, że architekt przedsiębiorstwa odpowiada za identyfikację i ograniczanie ryzyk, ale to w ramach struktury zarządzania ryzykami, że ryzyka są akceptowane i zarządzane. Dlatego konieczne jest utworzenie solidnej struktury zarządzania, która precyzuje role, odpowiedzialności i procedury zarządzania ryzykami.

Skuteczne zarządzanie ryzykiem jest kluczowym elementem sukcesu projektów architektury i transformacji biznesowej. Wymaga ono ciągłego monitorowania i śledzenia ryzyk oraz utworzenia solidnej struktury zarządzania, która precyzuje role, odpowiedzialności i procedury zarządzania ryzykami.

Istnieją dwa poziomy ryzyka:

• Poziom początkowy poziom ryzykato kategoryzacja ryzyk przed ustaleniem i wdrożeniem działań ograniczających.
• Poziom pozostający poziom ryzykato kategoryzacja ryzyk po wdrożeniu działań ograniczających.

Początkowy poziom ryzyka

Początkowy poziom ryzyka to pierwszy krok w procesie zarządzania ryzykiem i obejmuje identyfikację i kategoryzację ryzyk przed podjęciem jakichkolwiek działań ograniczających. Ten krok obejmuje identyfikację potencjalnych ryzyk związanych z procesem transformacji, ocenę ich prawdopodobieństwa i skutków oraz kategoryzację na podstawie ich ciężkości i priorytetu.

Kategoryzacja ryzyk na poziomie początkowym jest kluczowa dla wyboru odpowiednich działań ograniczających, które skutecznie zaradzą ryzykom. Pomaga w priorytetyzacji ryzyk i przydzielaniu zasobów oraz wysiłku do ograniczania najpoważniejszych ryzyk najpierw. Po identyfikacji i kategoryzacji ryzyk kolejnym krokiem jest ustalenie i wdrożenie działań ograniczających.

Warto zaznaczyć, że kategoryzacja ryzyk nie jest jednorazowym zdarzeniem i powinna być powtarzana okresowo w trakcie całego procesu transformacji. W miarę postępu transformacji mogą pojawić się nowe ryzyka, a ciężkość istniejących ryzyk może się zmienić, co wymaga ponownej oceny i dostosowania strategii ograniczania ryzyka.

Pozostający poziom ryzyka

Pozostający poziom ryzyka odnosi się do poziomu ryzyka, który pozostaje po wdrożeniu działań ograniczających. Reprezentuje ryzyko, do którego organizacja nadal jest narażona, nawet po zastosowaniu procesu zarządzania ryzykiem.

Po wdrożeniu działań ograniczających pozostający poziom ryzyka powinien zostać ponownie oceniony, aby stwierdzić, czy działania ograniczające skutecznie zmniejszyły ryzyko do akceptowalnego poziomu. Pozostający poziom ryzyka powinien zostać zakategoryzowany na podstawie ciężkości i priorytetu pozostałych ryzyk, a w razie potrzeby mogą zostać zidentyfikowane i wdrożone dodatkowe działania ograniczające, aby dalej zmniejszyć ryzyko.

Warto zaznaczyć, że pozostający poziom ryzyka powinien również być monitorowany ciągle, aby zapewnić, że strategia ograniczania ryzyka pozostaje skuteczna. Proces transformacji może wprowadzić nowe ryzyka, albo skuteczność działań ograniczających może zmniejszać się z czasem. Regularne monitorowanie i ponowna ocena pozostającego poziomu ryzyka pomaga zapewnić, że strategia zarządzania ryzykiem pozostaje skuteczna i że organizacja jest odpowiednio przygotowana do zarządzania wszelkimi ryzykami, które mogą się pojawić podczas transformacji.

Proces zarządzania ryzykiem

Proces zarządzania ryzykiem zwykle składa się z następujących działań:

1. Kategoryzacja ryzyka: Obejmuje kategoryzowanie ryzyk na podstawie ich ciężkości i priorytetu. Kategoryzacja pomaga w priorytetyzacji ryzyk i przydzielaniu zasobów oraz wysiłku do ograniczania najpoważniejszych ryzyk najpierw.
2. Identyfikacja ryzyka: Obejmuje identyfikację potencjalnych ryzyk związanych z procesem transformacji. Ryzyka mogą być identyfikowane za pomocą różnych metod, takich jak mózgowe sesje, warsztaty ryzyka i rozmowy z interesariuszami.
3. Początkowa ocena ryzyka: Obejmuje ocenę prawdopodobieństwa i skutków zidentyfikowanych ryzyk. Ocena pomaga w ustaleniu ciężkości ryzyk i ich potencjalnego wpływu na proces transformacji.
4. Ograniczanie ryzyka i ocena ryzyka pozostającego: Obejmuje identyfikację i wdrożenie działań ograniczających, aby zmniejszyć ryzyko do akceptowalnego poziomu. Po wdrożeniu działań ograniczających pozostający poziom ryzyka powinien zostać ponownie oceniony, aby stwierdzić, czy działania ograniczające skutecznie zmniejszyły ryzyko do akceptowalnego poziomu.
5. Monitorowanie ryzyka: Dotyczy ciągłego monitorowania i śledzenia ryzyka w trakcie całego procesu transformacji. Regularne monitorowanie może pomóc w wykrywaniu nowych ryzyk, które mogą się pojawić, ocenie skuteczności działań zmniejszających ryzyko oraz dostosowaniu strategii zmniejszania ryzyka, jeśli to konieczne.

Śledząc te działania, organizacja może skutecznie zarządzać ryzykami związanymi z architekturą lub przedsięwzięciem transformacji biznesowej, zmniejszać prawdopodobieństwo i skutki potencjalnych ryzyk oraz zapewnić sukces przedsięwzięcia transformacji.

 

Początkowy poziom oceny ryzyka

Wskazówki dotyczące oceny skutków i częstotliwości ryzyka oparte są na najlepszych praktykach w zarządzaniu ryzykiem. Te wskazówki zapewniają ramy do oceny nasilenia i prawdopodobieństwa potencjalnych ryzyk, co może pomóc organizacjom ustalić priorytety i przydzielić zasoby do zmniejszania ryzyka.

Skutki ryzyka można ocenić za pomocą kryteriów takich jakkatastrofalny, krytyczny, pomijalny, oraznieistotny. Te kryteria zapewniają jasne zrozumienie potencjalnego wpływu finansowego ryzyka na organizację.

Częstotliwość ryzyka można ocenić za pomocą kryteriów takich jakczęsty, prawdopodobny, okazjonalny, rzadki, orazmało prawdopodobny. Te kryteria zapewniają zrozumienie prawdopodobieństwa wystąpienia ryzyka w trakcie przedsięwzięcia transformacji.

Łącząc skutki i częstotliwość ryzyka, organizacja może kategoryzować ryzyka według różnych poziomów ryzyka, takich jakekstremalnie wysokie ryzyko, wysokie ryzyko, umiarkowane ryzyko, i niskie ryzyko. Ta kategoryzacja może pomóc organizacjom priorytetyzować i alokować zasoby w celu ograniczenia ryzyka, przy czym obszary o wyższym ryzyku otrzymują więcej uwagi i zasobów.

Ogólnie rzecz biorąc, stosowanie spójnych schematów kategoryzacji oceny skutków i częstotliwości ryzyka może pomóc organizacjom efektywnie zarządzać ryzykami związanych z projektami architektonicznymi lub transformacją biznesową, zmniejszać prawdopodobieństwo i skutki potencjalnych ryzyk oraz zapewniać sukces tych działań transformacyjnych.

Oto przykład Schemat klasyfikacji ryzyka macierz oparta na kryteriach i częstotliwości wymienionych powyżej:

Kryteria	Częste	Prawdopodobne	Zdarzające się	Rzadkie	Mało prawdopodobne
Katastrofalne	E	E	H	M	L
Krytyczne	H	H	M	L	L
Marginalne	M	M	L	L	L
Zaniedbywalny	L	L	L	L	L

W tym Schemat klasyfikacji ryzyka macierzy wiersze reprezentują kryteria skutków (katastrofalne, krytyczne, marginalne i zaniedbywalne), a kolumny reprezentują częstotliwość występowania (częste, prawdopodobne, okazjonalne, rzadkie i mało prawdopodobne). Komórki w macierzy reprezentują przecięcie kryteriów i częstotliwości oraz zawierają klasyfikację skutków ryzyka opartą na heurystyce.

Na przykład ryzyko o skutkach katastrofalnych, które ma duże prawdopodobieństwo wystąpienia kilkakrotnie w trakcie cyklu transformacji, zostało by sklasyfikowane jako „E” (ekstremalnie wysokie ryzyko). Podobnie ryzyko o skutkach krytycznych, które ma duże prawdopodobieństwo wystąpienia sporadycznie, zostało by sklasyfikowane jako „M” (umiarkowane ryzyko).

Wykorzystując ten Schemat klasyfikacji ryzyka Wykorzystując tę macierz do oceny skutków i częstotliwości potencjalnych ryzyk organizacje mogą priorytetyzować i alokować zasoby w celu ograniczenia ryzyka oraz zapewnić sukces swoich działań w zakresie architektury lub transformacji biznesowej.

Poziom pozostającego ryzyka – etap początkowy

Oto przykład macierzy oceny pozostającego ryzyka:

Identyfikator ryzyka	Ryzyko	Początkowe ryzyka skutków	Początkowe ryzyka częstotliwości	Początkowe ryzyka skutków	Zmniejszenie
R001	Atak cybernetyczny	Wysoki	Prawdopodobne	Katastrofalny	Zaimplementowano zapory ogniowe i system wykrywania intruzów
R002	Wywołanie produktu do powrotu	Średni	Prawdopodobne	Znaczący	Wdrożono środki kontroli jakości i zwiększono testowanie
R003	Naruszenie łańcucha dostaw	Wysoki	Prawdopodobne	Krytyczny	Zainicjowano dostawców zapasowych i wdrożono program zarządzania ryzykiem łańcucha dostaw
R004	Katastrofa naturalna	Wysoki	Mało prawdopodobne	Katastrofalny	Wdrożono plan reagowania na sytuacje awaryjne i przeprowadzono regularne ćwiczenia
R005	Utrata kluczowego pracownika	Średni	Prawdopodobne	Znaczący	Wdrożono plany zastępowania i programy szkoleniowe krzyżowe

Po wdrożeniu działań ograniczających ryzyko te ryzyka mogą zostać ponownie ocenione, a macierz zaktualizowana w celu odzwierciedlenia ewentualnych zmian w pozostałych ryzykach. Ostateczna wersja macierzy zapewni jasne zrozumienie pozostałych ryzyk oraz skuteczności środków ograniczających ryzyko.

Poziom pozostałego ryzyka – etap przeglądu

Kolumna „Pierwotne działania” opisuje konkretną miarę ograniczającą, która została wdrożona w celu zmniejszenia pierwotnego ryzyka. Kolumny „Pozostałe ryzyka skutku”, „Pozostałe ryzyka częstotliwości” i „Pozostałe ryzyka skutku” opisują pozostałe ryzyka po wdrożeniu pierwotnej miary ograniczającej. Kolumna „Dalsze działania” sugeruje dodatkowe kroki, które można podjąć w celu dalszego zmniejszenia pozostałych ryzyk. Ta informacja może być pomocna w śledzeniu i monitorowaniu skuteczności działań zarządzania ryzykiem w czasie.

Oto przykład macierzy oceny pozostałego ryzyka z podanymi nazwami kolumn:

Identyfikator ryzyka	Ryzyko	Pierwotne działania	Resztkowe ryzyko skutków	Resztkowe ryzyko częstotliwości	Resztkowe ryzyko wpływu	Dalsze działania
R001	Atak cybernetyczny	Zaimplementowano zapory ogniowe i system wykrywania włamania	Niski	Prawdopodobne	Umiarkowany	Przeprowadzaj regularne oceny zagrożeń
R002	Wywołanie produktu z obrotu	Zaimplementowano środki kontroli jakości i zwiększono testowanie	Niski	Mało prawdopodobne	Niewielki	Monitoruj wydajność dostawców i wdrażaj ciągłe ulepszanie
R003	Naruszenie łańcucha dostaw	Założono dodatkowych dostawców i wdrożono program zarządzania ryzykiem łańcucha dostaw	Niski	Mało prawdopodobne	Niewielki	Regularnie przeglądarki i aktualizuj program zarządzania ryzykiem łańcucha dostaw
R004	Katastrofa naturalna	Zaimplementowano plan reagowania na sytuacje awaryjne i przeprowadzono regularne ćwiczenia	Średni	Prawdopodobne	Umiarkowany	Przeprowadzaj regularne ćwiczenia reagowania na sytuacje awaryjne i aktualizuj plan, gdy będzie to konieczne
R005	Utrata kluczowego pracownika	Wdrożono programy planowania zastępczości i szkolenia krzyżowego	Niski	Mało prawdopodobne	Niewielki	Regularnie przegląduj i aktualizuj program planowania zastępczości

 

Podsumowanie

Macierz oceny ryzyka pozostającego jest przydatnym narzędziem do śledzenia i monitorowania skuteczności działań zarządzania ryzykiem w czasie. Po identyfikacji początkowych ryzyk i wdrożeniu środków ograniczających, pozostałe ryzyka nazywane są ryzykami pozostającymi. Macierz oceny ryzyka pozostającego zapewnia strukturę do organizowania i analizowania ryzyk pozostających poprzez zapisywanie informacji dotyczących identyfikatora ryzyka, opisu ryzyka, wstępnych skutków, częstotliwości i skutków, a także środków ograniczających stosowanych w celu zmniejszenia ryzyk. Ta macierz może być aktualizowana w razie potrzeby w celu odzwierciedlenia zmian w ryzykach pozostających i skuteczności środków ograniczających. Regularne przeglądanie i aktualizowanie macierzy pozwala organizacjom na zapewnienie, że podejmują odpowiednie działania w celu ograniczenia ryzyk i zmniejszenia prawdopodobieństwa oraz skutków potencjalnych zdarzeń.