Zarządzanie ryzykiem

Zarządzanie ryzykiem jest niezbędne, ponieważ pomaga złagodzić wpływ ryzyka na działalność i nadać priorytet działaniom, które mają się ku temu przyczynić. Zagrożenia mogą pojawić się w rutynowych procesach, aktywach biznesowych, stosowanych materiałach/sprzęcie lub produktach/usługach końcowych świadczonych przez firmę. Oprócz tego mogą występować zagrożenia dla środowiska, miejsca pracy, informacji, a także zagrożenia bezpieczeństwa cybernetycznego, zagrożenia dotyczące zgodności lub te finansowe, które mogą w równym stopniu zakłócić działalność biznesową.

Poniżej znajdziesz listę kontrolną, która pomoże Ci porozmawiać o ryzyku, a także ułatwi postawienie pierwszych kroków w kierunku przeprowadzenia audytu zarządzania ryzykiem.

• Strategia oceny ryzyka

Najpierw musisz upewnić się, że Twoja organizacja ma strategię, czyli zestaw procesów identyfikacji zagrożeń. Musi istnieć oddzielny rejestr ryzyka, w którym należy rejestrować szczegóły wszystkich przeprowadzonych działań (np. audytów). Prowadzenie rejestru pomaga również w prowadzeniu szczegółowej ewidencji przewidywalnych i istniejących zagrożeń. W związku z tym możesz zapobiec sytuacjom powodującym ich ponowne wystąpienie w przyszłości.

• Szczegółowe zasady i kontrole wewnętrzne

Aby zarządzanie ryzykiem było skuteczne, potrzebujesz ustalonej polityki zarządzania ryzykiem oraz pewnych szczegółowych kontroli wewnętrznych lub procedur, które pozwolą jej przestrzegać. Dlatego musisz upewnić się, że Twój zespół zarządzający utworzył politykę, która daje wyobrażenie o zakresie i celach zarządzania ryzykiem. Potwierdź również w jaki sposób należy wdrożyć różne kontrole lub procedury zarządzania ryzykiem. Upewnij się, że zespół zarządzający przedstawił je pracownikom (oceniającym ryzyko i kierownikom), którzy byliby odpowiedzialni za eliminację ryzyka. Ponadto musisz określić, jak często polityka powinna być przeglądana i aktualizowana, aby zapewnić, że kontrole mogą zaradzić nowym zagrożeniom.

• Przypisywanie odpowiedzialności

Upewnij się, że ustaliłeś odpowiedzialność za ryzyko i nadałeś uprawnienia dedykowanym członkom do zarządzania nimi. W tym celu należy określić, kto jest właścicielem ryzyka, czyli osoby obsługujące proces, aktywa lub obszar działalności, w którym zidentyfikowano ryzyko. Przypisanie odpowiedzialności pomaga w szybkim zarządzaniu ryzykiem.

• Przydział zasobów

Musisz upewnić się, że zespół zarządzający odpowiednio przydzielił zasoby wymagane do zarządzania ryzykiem. Zasoby, w szerokim ujęciu, oznaczają narzędzia, informacje i osoby wymagane do identyfikacji, oceny, usuwania lub przenoszenia ryzyka. Dlatego należy upewnić się, że metody oceny, narzędzia, informacje, mechanizmy komunikacji, systemy raportowania i wszelkie podmioty zewnętrzne wymagane do zarządzania ryzykiem są gotowe. Należy również upewnić się, że pracownicy odpowiedzialni za radzenie sobie z ryzykiem zostali odpowiednio przeszkoleni.

• Ciągłe doskonalenie kontroli ryzyka

Na koniec musisz potwierdzić, czy różne wdrożone kontrole ryzyka są od czasu do czasu aktualizowane, aby poprawić zarządzanie ryzykiem. Upewnij się, że masz odpowiednie wskaźniki lub metryki do pomiaru wydajności kontroli ryzyka. Jeśli metryki okażą się niewystarczające w porównaniu z zamierzonymi celami wydajności, można zrewidować politykę ryzyka i wdrożone kontrole. Dlatego musisz zapewnić odpowiednią okresową ocenę swojej polityki ryzyka, ram zarządzania, kontroli i środków w celu zidentyfikowania nieefektywności. Pomogłoby to w ciągłym ulepszaniu podejścia do zarządzania ryzykiem.

Jak określić poziom ryzyka, czyli o macierzy ryzyka słów kilka.

Zidentyfikowane ryzyka klasyfikujemy zazwyczaj według dwóch kryteriów. Mowa o prawdopodobieństwie wystąpienia oraz możliwych skutkach. Jedną z technik określenia poziomu, jest właśnie macierz ryzyka, którą wylicza się w prosty sposób:

prawdopodonieństwo * skutek = poziom ryzyka

Funkcjonalności obarczone największym ryzykiem mają najwyższy priorytet, czyli pierwszeństwo we wdrożeniu (lub testowaniu). Te o najniższym priorytecie można wykluczyć z planu działania, chyba że dotyczą one systemów krytycznych lub funkcjonalności obarczonych wysokim ryzykiem (aparatura medyczna, oprogramowanie lotnicze, system kontroli zderzeń, bankowość).

TDD vs BDD

TDD (Test Driven Development) oraz BDD (Behavior Driven Development) to metodyki w procesie opartym na testowanu na podstawie ryzyka.

Test Driven Development polega na odwróconym procesie wytwarzania oprogramowania. Programista najpierw tworzy program sprawdzający kod, który dopiero ma napisać. Dopiero później go pisze. Tak więc najpierw powstanie program, który sprawdzi czy inny program działa zgodnie z oczekiwaniem.

Zaletą tego podejścia jest to, że napisane testy są integralną częścią oprogramowania i mogą być uruchamiane każdorazowo, gdy dokonywane są zmiany w kodzie. Pozwala to na ogromną oszczędność czasu i pieniędzy, ponieważ w przypadku stabilnych wymagań (czyli takich, które raz zdefiniowane nie ulegają częstym zmianom), testy te są powtarzalne i dają nam niemal natychmiast informację na temat stanu aplikacji, zanim jeszcze zaczniemy testy “właściwe” (a więc zaangażujemy zasoby w testowanie, co wiąże się z kosztami).

Behavior Driven Development polega na definiowaniu potencjalnych przypadków użycia aplikacji i opisaniu ich w taki sposób, że mogą potem stanowić jednoznaczną instrukcję dla użytkownika. Wymaga to pewnego usztywnienia w tworzeniu wymagań, ponieważ ograniczeni jesteśmy wtedy narzędziami i językami stosowanymi w tej metodyce (jak np. Cucumber i Gherkin). Tak więc od samego początku osoby zaangażowane w projekt tworzą przypadki testowe, które łatwo potem przekuć w testy automatyczne, ponieważ trzymają się one ściśle określonej składni (potocznie w IT nazywane “podejściem given when then“).