ISO 31000 Zarządzanie ryzykiem - Wytyczne

ISO 31000 Zarządzanie ryzykiem - Wytyczne

Zarządzanie ryzykiem z ISO 31000

Norma ISO 31000 - Zarządzanie ryzykiem - Wytyczne, będąca międzynarodowym standardem dotyczącym zarządzania ryzykiem, stanowi fundament dla organizacji dążących do osiągnięcia swoich celów poprzez efektywne zarządzanie ryzykiem. Dzięki uniwersalnemu charakterowi, norma znajduje zastosowanie w różnorodnych sektorach i typach organizacji, stanowiąc punkt odniesienia w obszarze zarządzania ryzykiem.

 

Geneza i rozwój normy ISO 31000

ISO 31000 została opublikowana w 2009 roku jako odpowiedź na rosnące zapotrzebowanie na uniwersalne wytyczne dotyczące zarządzania ryzykiem, które mogłyby być stosowane w organizacjach wszelkich typów i rozmiarów, niezależnie od branży. Standard został opracowany przez ekspertów z różnych krajów i sektorów, co przyczyniło się do jego uniwersalności i elastyczności. W 2018 roku norma przeszła proces aktualizacji, co zaowocowało wydaniem ISO 31000:2018.

 

Podstawowe zasady i cele zarządzania ryzykiem według ISO 31000

ISO 31000 opiera się na serii wytycznych, które są fundamentem efektywnego zarządzania ryzykiem. Wśród nich znajdują się takie zasady jak zintegrowane podejście, dostosowanie do kontekstu organizacji, zaangażowanie kierownictwa, czy ciągłe doskonalenie. Norma podkreśla, że zarządzanie ryzykiem powinno być integralną częścią wszystkich procesów organizacyjnych, dostosowanym do specyfiki i potrzeb danej organizacji, wspieranym przez najwyższe kierownictwo i podlegającym ciągłemu monitorowaniu i przeglądowi.

 

Celami zarządzania ryzykiem, zgodnie z ISO 31000, są ochrona i tworzenie wartości dla organizacji. Obejmuje to wspieranie organizacji w osiąganiu jej celów, poprawę identyfikacji szans i zagrożeń, ulepszanie alokacji i wykorzystania zasobów, oraz zwiększenie skuteczności w zarządzaniu zmianą.

 

Uniwersalność normy ISO 31000 i jej zastosowanie

ISO 31000 została zaprojektowana tak, aby mogła być stosowana przez organizacje każdego rodzaju i wielkości, co czyni ją uniwersalnym narzędziem w dziedzinie zarządzania ryzykiem. Standard nie narzuca konkretnych metod czy procesów, co pozwala na jego elastyczne zastosowanie w różnych kontekstach operacyjnych i strategicznych. Niezależnie od tego, czy jest to mała firma rodzinna, organizacja non-profit, czy globalny koncern, ISO 31000 dostarcza ram do efektywnego identyfikowania, analizowania, oceniania i zarządzania ryzykiem.

 

Kluczowe elementy normy ISO 31000

Norma ISO 31000 wskazuje, jak organizacje mogą tworzyć, wdrażać i utrzymywać skuteczne praktyki zarządzania ryzykiem. Trzy kluczowe elementy tej normy - zasady zarządzania ryzykiem, ramka zarządzania ryzykiem oraz proces zarządzania ryzykiem, stanowią podstawę dla efektywnego podejścia do zarządzania ryzykiem, które może być zastosowane w każdej organizacji.

 

Zasady zarządzania ryzykiem

ISO 31000 opiera się na określonym zestawie zasad, które powinny być uznawane i stosowane w całej organizacji. Są to między innymi:

  • Wartość dla organizacji - Zarządzanie ryzykiem powinno przyczyniać się do osiągania celów i tworzenia wartości.
  • Zintegrowane podejście - Powinno być wplecione w strukturę i procesy organizacyjne.
  • Dostosowanie do kontekstu - Zarządzanie ryzykiem musi być dostosowane do zewnętrznego i wewnętrznego kontekstu organizacji.
  • Zaangażowanie kierownictwa - Kierownictwo musi wykazać silne zaangażowanie i zapewnić odpowiednie zasoby.
  • Ciągłe doskonalenie - Organizacje powinny stale doskonalić swoje procesy zarządzania ryzykiem.

 

Ramy i proces zarządzania ryzykiem

Zgodnie z zasadami zarządzania ryzykiem określonymi w normie ISO 31000, podejmowanie zorganizowanych i skoordynowanych działań nie wymaga przestrzegania rygorystycznych procedur zaplanowanych na konkretne okoliczności. Wręcz przeciwnie, rekomenduje się rozwijanie adaptacyjnego systemu przez iteracyjne udoskonalanie struktury ramowej, która jest dostosowana do unikalnych potrzeb przedsiębiorstwa.

 

Owa struktura ramowa dotyczy formalnych aspektów procesu zarządzania ryzykiem. Zgodnie z rekomendacjami ISO 31000, powinna ona zawierać elementy takie jak:

  • Delegowanie odpowiedzialności i uprawnień odpowiednim osobom za działania związane z zarządzaniem ryzykiem,
  • Określenie kontekstu (zarówno zewnętrznego, jak i wewnętrznego), w którym organizacja dąży do realizacji swoich celów – fundament, na którym opiera się zarządzanie ryzykiem,
  • Komunikacja z interesariuszami (zarówno zewnętrznymi, jak i wewnętrznymi) oraz uwzględnianie ich oczekiwań i interesów na każdym etapie procesu zarządzania ryzykiem,
  • Zdefiniowanie kryteriów oceny ryzyka, które mogą posłużyć do oceny jego znaczenia,
  • Identyfikacja potencjalnych zagrożeń, ich analiza i ocena,
  • Projektowanie strategii działania na wypadek ryzyka, z uwzględnieniem ich efektywności,
  • W sytuacji kryzysowej – ustalenie konkretnych kroków i wyznaczenie osób odpowiedzialnych za ich realizację,
  • Monitorowanie oraz rejestrowanie procesów związanych z zarządzaniem ryzykiem.

 

Podejście oparte na ryzyku

Podejście oparte na ryzyku jest kluczowym elementem norm z rodziny ISO, a w szczególności nomy ISO 9001, dotyczącej zarządzania jakością oraz ISO/IEC 27001, dotyczącej zarządzania bezpieczeństwem informacji. Obie te normy podkreślają znaczenie identyfikacji, oceny i zarządzania ryzykiem jako integralnej części procesów organizacyjnych. Wprowadzenie podejścia opartego na ryzyku ma na celu proaktywne zapobieganie niepożądanym zdarzeniom, zwiększenie pewności osiągnięcia celów oraz poprawę ciągłego doskonalenia.

 

Norma ISO 31000, koncentrując się na zarządzaniu ryzykiem, dostarcza uniwersalnych wytycznych, które mogą wspierać i wzmacniać podejście oparte na ryzyku zarówno w kontekście ISO 9001 jak i ISO/IEC 27001. Oferuje ona kompleksowy framework i proces, który może być adaptowany do różnych typów ryzyka i różnych kontekstów organizacyjnych, co czyni ją idealnym narzędziem do integracji i optymalizacji podejść opartych na ryzyku w tych dwóch normach. Oto, jak można wykorzystać ISO 31000 do tego celu:

  • Identyfikacja ryzyka: ISO 31000 zapewnia metodologie identyfikacji ryzyka, które mogą być zastosowane do wykrywania zagrożeń dla jakości produktów i usług. Dzięki temu organizacje mogą proaktywnie zarządzać potencjalnymi problemami zanim wpłyną one na zadowolenie klienta.
  • Ocena ryzyka: Przez zastosowanie procedur oceny ryzyka opisanych w ISO 31000, organizacje mogą lepiej zrozumieć konsekwencje identyfikowanych ryzyk dla ich systemów zarządzania i podjąć na ich podstawie właściwe decyzje.
  • Zarządzanie ryzykiem: ISO 31000 oferuje podejścia do postępowania z ryzykiem, które mogą pomóc organizacjom w opracowywaniu skutecznych strategii minimalizowania lub eliminowania ryzyk związanych z jakością.
  • Komunikacja i konsultacje: ISO 31000 podkreśla znaczenie komunikacji z zainteresowanymi stronami przy zarządzaniu ryzykiem. To z kolei wspiera wymóg ISO/IEC 27001 dotyczący zaangażowania interesariuszy w proces zarządzania bezpieczeństwem informacji.
  • Monitorowanie i przegląd: Procesy monitorowania i przeglądu zalecane przez ISO 31000 mogą być stosowane do ciągłego doskonalenia środków bezpieczeństwa informacji, co jest kluczowym aspektem ISO/IEC 27001.

 

Co z certyfikacją ISO 31000?

ISO 31000, będąca międzynarodowym standardem dotyczącym zarządzania ryzykiem, oferuje wytyczne, ale nie jest normą certyfikowalną w takim sensie, jak ISO 9001 czy ISO/IEC 27001. Oznacza to, że organizacje mogą wdrożyć zasady i najlepsze praktyki opisane w ISO 31000 do zarządzania ryzykiem, ale nie mogą uzyskać formalnej certyfikacji ISO 31000 potwierdzającej zgodność z tym standardem.

 

Skontaktuj się z nami

„Zgodnie z art. 13 ust. 1 i ust. 2 ogólnego rozporządzenia o ochronie danych osobowych z dnia 27 kwietnia 2016 r. (dalej RODO) informujemy, iż Administratorem Państwa danych osobowych jest ISOQAR CEE sp. z o.o  z siedzibą w Warszawie,  adres: ul.   Wąwozowa 11,  02-796 Warszawa.  Państwa dane osobowe przetwarzane będą w celach kontaktowych niezbędnych do realizacji usługi, zgodnie z obowiązującymi przepisami prawa na podstawie art. 6 ust. 1 lit. f RODO.„

>>Wyrażam zgodę na przetwarzanie moich danych osobowych przez ISOQAR CEE sp. z o.o jako administratora danych osobowych, w celach otrzymywania informacji handlowych i marketingowych wysyłanych na podany adres e-mail na podstawie art. 6 ust. 1 lit. a RODO. Więcej informacji w Polityka prywatności

Polityka prywatności

Klauzula informacyjna w zakresie przetwarzania danych osobowych na potrzeby newsletter

W związku z obowiązywaniem od dnia 25 maja 2018 r. rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L 119, str. 1), zwanego dalej „rozporządzeniem RODO”, informujemy, że:

  1. Administratorem Pani/Pana danych osobowych jest ISOQAR CEE sp. z o.o  z siedzibą w Warszawie,  adres: ul.   Wąwozowa 11,  02-796 Warszawa, NIP 9512091016, wpisana do Krajowego Rejestru Sądowego prowadzonego  przez Sąd Rejonowy w dla m.st. Warszawy, XIII Wydział Gospodarczy Krajowego Rejestru Sądowego pod numerem KRS: 0000178492, 

  2. Administrator wyznaczył Inspektora Ochrony Danych Krzysztofa Radtke, z którym można się skontaktować drogą elektroniczną: iod@isoqar.pl

  3. Pani/Pana dane osobowe będą przetwarzane w celach wysyłki i otrzymywania newslettera.

  4. Przetwarzanie Pani/Pana danych osobowych odbywać się będzie na podstawie wyrażonej przez Panią/Pana zgody (podstawa prawna: art. 6 ust. 1 lit. a Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE RODO

  5. Pani/Pana dane osobowe będą przetwarzane do czasu cofnięcia przez Panią/Pana zgody. 

  6. Odbiorcą Pani/Pana danych osobowych będą podmioty, którym Administrator zleca wykonywanie czynności, z którymi wiąże konieczność przetwarzania danych (podmioty przetwarzające) oraz podmioty publiczne na podstawie odrębnych przepisów prawa. 

  7. W związku z przetwarzaniem danych osobowych przysługuje Pani/Panu prawo dostępu do treści danych, ich sprostowania, usunięcia, ograniczenia ich przetwarzania oraz prawo do wniesienia sprzeciwu wobec przetwarzania danych osobowych. 

  8. Ma Pani/Pan prawo do cofnięcia zgody na przetwarzanie Pani/Pana danych w dowolnym momencie bez wpływu na zgodność z prawem przetwarzania, którego dokonano na podstawie zgody przed jej cofnięciem.

  9. W przypadku uznania, że przetwarzanie przez Administratora Pani/Pana danych osobowych narusza przepisy Rozporządzenia ma Pani/Pan prawo wnieść skargę do Prezesa Urzędu Ochrony Danych Osobowych (PUODO). 

  10. Podanie przez Panią/Pana danych osobowych jest dobrowolne, jednak jest warunkiem wysyłki newslettera.

  11. Pani/Pana dane osobowe nie będą przetwarzane w sposób zautomatyzowany, nie będą poddawane profilowaniu.

  12. Pani/Pana dane osobowe mogą być przekazywane do państwa trzeciego (UK).

Klauzula informacyjna zapytanie ofertowe

Zgodnie z art. 13 ust. 1 i ust. 2 ogólnego rozporządzenia o ochronie danych osobowych z dnia 27 kwietnia 2016 r. (dalej RODO) informuję, iż:

1. Administratorem Pani/Pana danych osobowych jest ISOQAR CEE sp. z o.o  z siedzibą w Warszawie,  adres: ul.   Wąwozowa 11,  02-796 Warszawa, NIP 9512091016, wpisana do Krajowego Rejestru Sądowego prowadzonego  przez Sąd Rejonowy w dla m.st. Warszawy, XIII Wydział Gospodarczy Krajowego Rejestru Sądowego pod numerem KRS: 0000178492, 

2. Administrator wyznaczył Inspektora Ochrony Danych Krzysztofa Radtke, z którym można się skontaktować drogą elektroniczną:  iod@isoqar.pl

3. Pani/Pana dane osobowe przetwarzane będą w celu:

•             odpowiedzi na zapytanie ofertowe na podstawie art. 6 ust. 1 lit. f RODO

więcej informacji pod linkiem

•             kontaktu w celu przekazania informacji marketingowych i handlowych na podstawie art. 6 ust. 1 lit. a RODO

•             w celu realizacji prawnie uzasadnionego interesu Spółki, polegającego na ewentualnym ustaleniu lub dochodzeniu roszczeń lub obronie przed roszczeniami, na podstawie prawnie uzasadnionego interesu Spółki (art. 6 ust. 1 lit. f RODO).

4. Odbiorcą Pani/Pana danych osobowych będą wspólnicy i pracownicy Administratora w zakresie swoich obowiązków służbowych na podstawie upoważnienia.

5. Pani/Pana dane osobowe nie będą przekazywane do państwa trzeciego ani organizacji międzynarodowej;

6. Pani/Pana dane osobowe będą przechowywane do czasu zakończenia współpracy lub do czasu cofnięcia przez Pani/Pana zgody.

7. Posiada Pani/Pan prawo dostępu do treści swoich danych oraz prawo ich sprostowania, usunięcia, ograniczenia przetwarzania, prawo do przenoszenia danych, prawo wniesienia sprzeciwu, prawo do przenoszenia danych.

8. Ma Pan/Pani prawo wniesienia skargi do organu nadzorczego- Urzędu Ochrony Danych Osobowych, gdy uzna Pani/Pan, iż przetwarzanie danych osobowych Pani/Pana dotyczących narusza przepisy ogólnego rozporządzenia o ochronie danych osobowych z dnia 27 kwietnia 2016 r.;

9. Podanie przez Pana/Panią danych osobowych jest dobrowolne, jednak konieczne w celu realizacji przedmiotu umowy/ jest konieczne w związku z przepisami szczególnymi ustawy (przetwarzanie danych osobowych jest wymogiem ustawowym). W przypadku niewyrażenia zgody na przetwarzanie danych osobowy, Administrator może zrezygnować z zawarcia umowy.

10. Pani/Pana dane nie będą przetwarzane w sposób zautomatyzowany w tym również w formie profilowania tzn. żadne decyzje wywołujące wobec osoby skutki prawne lub w podobny sposób na nią istotnie wpływające nie będą oparte wyłącznie na automatycznym przetwarzaniu danych osobowych i nie wiążą się z taką automatycznie podejmowaną decyzją.