ISO/IEC 20000-1, klauzula 6.1.2 — Određivanje i dokumentovanje rizika

Šta standard zahteva

Klauzula 6.1.2 traži da organizacija odredi i dokumentuje:

• rizike koji se odnose na:
  • samu organizaciju;
  • neispunjavanje zahteva usluga;
  • uključenost drugih strana u životni ciklus usluge;
• uticaj rizika i prilika za SMS i usluge na korisnike;
• kriterijume za prihvatanje rizika;
• pristup koji će se primenjivati za upravljanje rizicima.

Standard napominje da mogući načini postupanja sa rizicima i prilikama uključuju: izbegavanje rizika, preuzimanje ili povećanje rizika radi iskorišćenja prilike, uklanjanje izvora rizika, promenu verovatnoće ili posledice rizika, ublažavanje rizika kroz dogovorene mere, deljenje rizika sa drugom stranom, ili svesno prihvatanje rizika.

Primer

Primer: IT sektor Adria Trade-a dokumentuje rizike po kategorijama koje standard traži:

• Rizici vezani za organizaciju: odlazak jedne od dve osobe koje poznaju stariju on-premise infrastrukturu u prodavnicama.
• Rizici vezani za neispunjavanje zahteva usluga: service desk neće moći da ispuni dogovorene rokove odziva nakon otvaranja deset novih prodavnica, ako se broj zaposlenih ne poveća.
• Rizici vezani za uključenost drugih strana: ograničenja SLA cloud ERP dobavljača mogu da spreče IT sektor da ispuni interne rokove kad se problem nalazi na strani dobavljača.
• Uticaj na korisnike: ako POS sistem padne tokom radnog vremena prodavnice, kupci na kasi čekaju ili odustaju od kupovine, što direktno utiče na prihod, ne samo na zadovoljstvo internog korisnika.
• Kriterijumi za prihvatanje rizika: nedostupnost POS sistema u pojedinačnoj prodavnici do 15 minuta smatra se prihvatljivom (rešava se u okviru redovnog rada), dok bilo šta duže automatski pokreće eskalaciju rukovodiocu IT sektora.
• Pristup upravljanju rizicima: lista rizika se preispituje na kvartalnom sastanku IT rukovodstva, uz jednostavnu tabelu u kojoj se za svaki rizik beleži odabrani pristup (izbegavanje, ublažavanje, deljenje, prihvatanje) i ko je odgovoran za praćenje.

Šta treba uraditi

• Razvrstati rizike u tri kategorije koje standard eksplicitno traži — rizici vezani za organizaciju, rizici da usluga neće ispuniti dogovorene zahteve, i rizici koji dolaze od uključenosti trećih strana (dobavljača, partnera) u pružanje usluge.
• Za svaki značajniji rizik ili priliku razmotriti i zapisati kakav bi uticaj imao na korisnike — ne samo interne korisnike, nego i krajnje kupce, ako je primenljivo, jer se posledice ispada usluge često osećaju dalje niz lanac nego što se prvo pomisli.
• Definisati konkretne, merljive kriterijume prihvatanja rizika — na primer, koliko minuta nedostupnosti se smatra prihvatljivim pre nego što se pokreće eskalacija — umesto da se svaki put iznova raspravlja da li je nešto "dovoljno ozbiljno".
• Opisati pristup upravljanja rizicima jednostavno i realno prema veličini firme — ne treba komplikovan sistem sa desetinama kategorija, dovoljna je tabela koja se redovno ažurira i konkretna učestalost preispitivanja (na primer, kvartalno).
• Za svaki zapisan rizik odabrati jedan od pristupa koje standard nabraja u napomeni — izbegavanje, preuzimanje radi prilike, uklanjanje izvora, promena verovatnoće ili posledice, ublažavanje, deljenje sa drugom stranom, ili svesno prihvatanje — i zapisati zašto je baš taj pristup odabran.
• Sve ovo držati kao dokumentovanu informaciju koja se stvarno koristi na sastancima, a ne kao jednokratnu vežbu urađenu pred audit.