7.

Standardul de management al riscurilor,

în conformitate cu standardul ISO 31000

ISO 31000 provine din standardul australian referitor la managementul

riscurilor AS/NZS 4360 pe care-l şi înlocuieşte. Spre deosebire de standardul
australian- care se referă doar la riscuri care pot fi asumate, ISO 31000
atinge tot sistemul de management care sprijină designul, implementarea,
mentenanţa şi îmbunătăţirea proceselor de management a riscurilor.
Asociaţia de Standardizare din România (ASRO) a adaptat acest
standard realizând versiunea românească, respectiv ”SR ISO 31000:2010,
Managementul riscului. Principii şi linii directoare”.

TERMENI:
Risc = Efectul incertitudinii asupra obiectivelor.
Managementul riscurilor = Activitățile coordonate în scopul conducerii și
controlului organizației, cu privire la riscuri.
Cadrul managementului riscurilor = Ansamblul de elemente care asigură
bazele și structurile organizaționale pentru proiectarea, implementarea,
monitorizarea, revizuirea și îmbunătățirea continua a managementului
riscurilor în întreaga organizație.
Politica de management al riscurilor = Declarația privind intențiile globale și
direcția organizației în raport cu managementul riscurilor.
Planul de management al riscurilor = Parte componentă a cadrului de
management al riscurilor care specifică modul de abordare, componentele și
resursele implicate în procesul de management al riscurilor.
Procesul de management al riscurilor = Aplicarea sistematică a politicilor,
procedurilor și practicilor de management în activitățile de comunicare,
consultare, stabilire a contextului și identificare, analiză, evaluare, tratare,
monitorizare și revizuire a riscurilor.

PRINCIPIILE DE MANAGEMENT AL RISCURILOR

Pentru a fi eficace managementul riscurilor în organizatie trebuie sa se

desfasoare în baza urmatoarelor principii:
a. Managementul riscurilor creează valoare
Managementul riscurilor contribuie la realizarea durabila a obiectivelor
organizatiei si la îmbunatatirea, de exemplu, a securitatii si sanatatii în munca,
a conformarii cu cerintele legislative, a acceptarii de catre public, a protectiei
mediului, a calitatii produselor, a guvernantei corporative si a reputatiei
organizatiei.
1 din 8
b. Managementul riscurilor este parte integranta a proceselor
organizationale
Managementul riscurilor este parte a responsabilitatilor managementului si
parte integranta a proceselor organizationale normale, precum si a proceselor
de management al schimbarii. Managementul riscurilor nu este o activitate
independenta, separata de activitatile si procesele principale ale organizatiei.
c. Managementul riscurilor este parte integranta a procesului de adoptare
a deciziilor
Managementul riscurilor sprijina decidentii în adoptarea unor decizii în
cunostinta de cauza, facilitând ierarhizarea prioritara a actiunilor întreprinse, a
masurilor adoptate si a alternativelor disponibile. Procesul permite luarea
deciziilor privind acceptabilitatea riscurilor si a tehnicilor de tratare adecvate si
eficiente.
d. Managementul riscurilor abordeaza în mod explicit incertitudinea
Managementul riscurilor ia în considerare acele aspecte ale procesului
decizional care sunt incerte si, în functie de natura incertitudinii, modalitatile
de abordare ale acesteia.
e. Managementul riscurilor este sistematic, structurat si actualizat
O abordare sistematica, structurata si actualizata a managementului riscurilor
contribuie la eficientizarea demersului, furnizând rezultate consistente,
comparabile si fiabile.
f. Managementul riscurilor se bazeaza pe cele mai bune infomatii
disponibile
Datele de intrare în procesul de management al riscurilor se bazeaza pe surse
de informatii cum sunt experienta, feed-back-ul, observarea, prognozele si
rationamentele expertilor. În toate situatiile decidentii trebuie sa fie informati si
sa ia în considerare toate limitarile si ipotezele impuse datelor sau modelelor
aplicate, precum si posibilitatea aparitiei unor divergente între opiniile
expertilor.
g. Managementul riscurilor este adaptat
Procesul trebuie aliniat la contextul si profilul extern si intern al organizatiei.
h. Managementul riscurilor ia în considerare factorii umani si culturali
Managementul riscurilor în organizatie recunoaste capacitatile, perceptiile si
intentiile persoanelor, din interior si exterior, care pot facilita sau îngreuna
realizarea obiectivelor organizatiei.
i. Managementul riscurilor este transparent si inclusiv
Implicarea adecvata si din stadiu incipient a factorilor afectati/interesati si,
îndeosebi, a decidentilor la toate nivelurile organizatiei, asigura relevanta si
gradul corespunzator de actualizare al procesului. Implicarea permite partilor
afectate/interesate sa fie reprezentate corespunzator, iar opiniile lor sa fie luate
în mod real în considerare la stabilirea criteriilor de acceptabilitate a riscurilor.
2 din 8
j. Managementul riscurilor este dinamic, iterativ si raspunde la schimbari
Pe masura producerii de evenimente interne si externe, se schimba contextul
initial si nivelul cunostintelor, se desfasoara monitorizarea si revizuirea, apar
riscuri noi, altele îsi modifica magnitudinea sau dispar. În consecinta,
organizatia ar trebui sa se asigure ca managementul riscurilor sesizeaza si
raspunde continuu la schimbari.
k. Managementul riscurilor faciliteaza îmbunatatirea continua si
dezvoltarea performantelor organizatiei
Organizatiile ar trebui sa îsi dezvolte si sa implementeze strategii destinate
îmbunatatirii gradului de maturitate al managementului riscurilor în toate
aspectele activitatii lor. Anexa A a standardului ISO 31000, intitulata
„Atributele managementului performant al riscurilor”, furnizeaza informatii
suplimentare în acest sens.

CADRUL GENERAL DE MANAGEMENT AL RISCURILOR

Pentru a avea succes, managementul riscului ar trebui sa se desfasoare

într-un cadru general care sa asigure bazele si structurile organizationale
necesare integrarii lui la toate nivelurile, în întreaga organizatie. Cadrul general
sprijina organizatia sa-si gestioneze eficient riscurile, prin aplicarea procesului
de management al riscurilor pe diferite paliere si în contextul specific unui
moment dat.
Componentele cadrului general de management al riscurilor sunt:
1. Implicare și angajament
Introducerea managementului riscurilor si asigurarea eficientei sale constante
necesita angajamentul si implicarea reala, puternica si sustinuta a conducerii
organizatiei si un sistem riguros de planificare strategica.
2. Proiectarea cadrului general de management al riscurilor
2.1. Întelegerea organizației și a contextului
Înainte de initierea proiectarii si implementarii cadrului general se considera
vitala întelegerea corecta a contextului, atât intern cât si extern, în care se
situeaza organizatia.
2.2. Politica de management al riscurilor
Politica de management al riscurilor ar trebui sa clarifice obiectivele
organizatiei.
2.3. Integrarea în procesele organizationale
Pentru a fi relevant, eficient si eficace, managementul riscurilor ar trebui
încorporat în toate practicile si procesele de afaceri ale organizatiei, devenind o
parte integranta a proceselor organizationale, îndeosebi a dezvoltarii politicilor,
a planificarii strategice a afacerilor si a proceselor de management al
schimbarii.
3 din 8
 2.4. Responsabilitatea
Organizatia ar trebui sa asigure un nivel adecvat de responsabilitate si de
autoritate pentru managementul riscurilor, inclusiv pentru implementarea si
mentinerea procesului de management al riscurilor si sa asigure masurile
adecvate si eficace de control a oricarui risc.
2.5. Resurse
Organizatia ar trebui sa îsi dezvolte mijloace practice de alocare a resurselor
adecvate.
2.6. Stabilirea mecanismelor de comunicare și raportare internă
2.7. Stabilirea mecanismelor de comunicare și raportare externă
Organizatia ar trebui sa își dezvolte un plan privind modalitatile de comunicare
cu factorii afectati externi.

3. Implementarea managementului riscurilor

3.1. Implementarea cadrului general
În vederea implementarii cadrului general de management al riscurilor
organizatia ar trebui sa:
· defineasca un calendar și o strategie adecvate de implementare;
· aplice politică si procesul de management al riscurilor în procesele
organizationale.
3.2. Implementarea procesului
Managementul riscurilor se va implementa prin asigurarea faptului ca procesul
descris în clauza 6 a standardului ISO 31000 este aplicat tuturor nivelurilor si
functiilor relevante ale organizatiei, ca parte a practicilor si proceselor
organizationale.
4. Monitorizarea si revizuirea cadrului general
Pentru a obtine certitudinea eficacitatii si continuitatii sprijinului acordat
performantei organizationale de catre managementul riscurilor, organizatia ar
trebui sa:
· stabileasca masuri de îmbunatatire a performantelor;
· masoare periodic progresele si sa estimeze deviatiile de la planul de
management al riscurilor;
· raporteze aspecte privind evolutia riscurilor, progresele realizate în
materializarea planului de management si sa se asigure de respectarea politicii;
· revizuiasca eficacitatea cadrului general de management al riscurilor.
5. Îmbunatatirea continua a cadrului general
În baza monitorizarii si revizuirii ar trebui sa se adopte decizii privind
îmbunatatirea cadrului, politicii si a planului de management al riscurilor,
decizii care sa conduca atât la îmbunatatirea managementului riscurilor în
organizatie, cât si la îmbunatatirea culturii privind managementul riscurilor.
4 din 8
PROCESUL DE MANAGEMENT AL RISCURILOR

Structura procesului
Procesul de management al riscurilor ar trebui sa fie parte integranta a
managementului general, sa fie încorporat în cultura si practicile organizatiei si
sa fie adaptat la procesele si activitatile acesteia. El cuprinde activitatile
descrise în standardul ISO 31000, astfel:

1. Comunicare si consultare
Comunicarea si consultarea cu părțile interesate, interne sau externe, se va
desfășura pe parcursul fiecărei etape a procesului, fiind vorba de un demers
cvasi-continuu, ca si în cazul monitorizării-revizuirii. Ca urmare, planul de
comunicare ar trebui dezvoltat cât mai devreme, abordând aspecte referitoare la
riscul în sine, la consecințele sale (daca se cunosc) si la masurile pre-existente
de control.
Pentru a fi util, schimbul de informații ar trebui sa transmită mesaje exacte,
oneste, inteligibile și argumentate.

2. Stabilirea contextului
2.1. Generalități
Prin stabilirea contextului organizatia defineste parametrii interni si externi
care trebuie luati în considerare în managementul riscurilor si la determinarea
domeniului de aplicare si al criteriilor de risc pentru continuarea procesului.
2.2. Stabilirea contextului extern
Contextul extern este mediul extern în care organizatia cauta sa îsi atinga
obiectivele. Întelegerea contextului extern este importanta pentru a ne asigura
ca partile interesate, obiectivele si preocuparile acestora sunt luate în
considerare în cursul elaborarii criteriilor de risc.
2.3. Stabilirea contextului intern
Contextul intern este mediul intern în care organizatia cauta sa îsi atinga
obiectivele. El este legat de cultura, procesele si structura organizatiei.
Contextul intern cuprinde toate elementele susceptibile sa influenteze modul în
care organizatia gestioneaza riscul.
2.4. Stabilirea contextului procesului de management al riscurilor
Obiectivele, strategiile, domeniul de aplicabilitate si parametrii activitatilor
organizatiei sau partilor de organizatie carora li se aplica managementul
riscurilor ar trebui stabilite, iar resursele, responsabilitatile si autoritatile
implicate ar trebui specificate.

5 din 8
Luarea în considerare a acestor factori si a altor factori pertinenti permite
asigurarea unei abordari adaptate la situatia concreta a organizatiei si la
riscurile care îi pot afecta atingerea obiectivelor.
2.5. Elaborarea criteriilor de risc
Organizatia ar trebui sa îsi dezvolte propriile criterii de evaluare a importantei
riscurilor, criterii care sa reflecte valorile, obiectivele si resursele organizatiei.
Anumite criterii pot fi impuse sau derivate din cerintele legale sau
reglementare, alte cerinte fiind cele la care organizatia subscrie voluntar.

3. Aprecierea riscului
3.1. Generalitati
Aprecierea riscului este procesul global de identificare, analiza si evaluare a
riscului.
3.2. Identificarea riscului
Organizatia identifica sursele de risc, domeniile de impact, evenimentele,
cauzele si consecintele potentiale ale acestora. Scopul acestei etape este de a
genera o lista cuprinzatoare a acelor evenimente care ar putea facilita, preveni,
degrada sau întârzia realizarea obiectivelor, importanta fiind si identificarea
riscurilor asociate nevalorificarii unei oportunitati.
Identificarea cât mai cuprinzatoare (incluzând si riscurile a caror sursa se
situeaza în afara organizatiei) este esentiala, deoarece un risc neidentificat în
aceasta etapa nu va fi inclus în analizele ulterioare. Instrumentele si tehnicile de
identificare a riscurilor utilizate trebuie sa fie adaptate obiectivelor,
capacitatilor disponibile si naturii riscurilor iar informatiile folosite sa fie
pertinente si actualizate.
3.3. Analiza riscului
Analiza riscului vizeaza dezvoltarea unei întelegeri a riscului, furnizând datele
de intrare pentru etapa de evaluare. Analiza implica luarea în considerare a
cauzelor si surselor de risc, a consecintelor pozitive sau negative, a
probabilitatii de materializare a respectivelor consecinte. Riscul este analizat
prin componentele sale de probabilitate si gravitate, dar si a oricaror alte
atribute relevante.
Analiza poate fi calitativa, semi-cantitativa, cantitativa sau o combinatie a
acestora, în functie de circumstante. În practica, analiza calitativa este frecvent
aplicata pentru a obtine o indicatie generala privind nivelul riscului si a
evidentia riscurile majore. Când este posibil si necesar se va realiza o analiza
mai detaliata si cantitativa.
3.4. Evaluarea riscului
Scopul evaluarii consta în sprijinirea procesului de adoptare a deciziilor privind
tratarea riscurilor, în baza rezultatelor analizei si a ierarhizarii riscurilor.
Evaluarea implica compararea nivelului de risc determinat prin analiza cu
6 din 8
criteriile de risc elaborate în faza de stabilire a contextului. Daca nivelul de risc
nu îndeplineste criteriile de acceptabilitate, riscul ar trebui tratat. Deciziile vor
lua în considerare un context mai larg al riscurilor si toleranta la risc a partilor
interesate. În anumite circumstante, evaluarea riscului poate conduce la decizia
de a efectua noi analize, mai aprofundate sau de a nu trata riscurile decât prin
mentinerea sistemelor de control existente. Astfel de decizii vor fi influentate
de apetitul la risc al organizatiei, de atitudinea fata de risc sau de criteriile
prestabilite privind riscul.

4. Tratarea riscului
4.1. Generalitati
Tratarea riscurilor implica selectarea uneia sau mai multor optiuni de
modificare a riscurilor si implementarea acestor optiuni, prin intermediul unui
proces iterativ de stabilire a modalitatilor de tratare, de decizie privind
tolerabilitatea riscului rezidual si de estimare a efectului tratarii riscurilor pâna
la încadrarea riscului rezidual în limitele criteriilor de risc ale organizatiei.
Optiunile de tratare care nu se exclud în mod necesar unele pe celelalte, dar
nici nu sunt potrivite în toate circumstantele, pot fi:
· evitarea riscului prin decizia nedemararii sau necontinuarii activitatii
generatoare de risc;
· cautarea unei oportunitati prin adoptarea deciziei de a demara sau continua
activitatea respectiva;
· eliminarea sursei de risc;
· schimbarea naturii si marimii probabilitatii;
· modificarea consecintelor;
· transferul riscului catre unul sau mai multi terti;
· retinerea (acceptarea riscului).

4.2. Selectia optiunilor de tratare a riscurilor

Selectia celei mai adecvate optiuni de tratare a riscurilor implica echilibrarea
costurilor si a eforturilor necesare implementarii, cu avantajele obtinute în ceea
ce priveste cerintele legale, reglementare sau de alta natura, responsabilitatea
sociala si protectia mediului natural.
Daca resursele disponibile sunt limitate, planul de tratare a riscurilor trebuie sa
identifice cu claritate ordinea de prioritate privind implementarea masurilor de
tratare a riscurilor individuale. Însasi tratarea riscurilor poate introduce noi
riscuri. Un risc semnificativ poate fi chiar lipsa functionalitatii sau
ineficacitatea masurilor de tratare implementate.
Monitorizarea trebuie sa fie parte integranta din planul de tratare, pentru a
garanta mentinerea eficientei masurilor de tratare. Decidentii si celelalte parti
interesate ar trebui sa fie constienti de natura si extinderea riscului rezidual,
7 din 8
remanent dupa tratarea riscului. Riscul rezidual trebuie documentat si supus
monitorizarii, revizuirii si, când este cazul, tratarii suplimentare.
4.3. Pregatirea si implementarea planurilor de tratare a riscurilor
Scopul planurilor de tratare a riscurilor este de a documenta modul în care
optiunile de tratare selectate urmeaza a fi implementate.

5. Monitorizare si revizuire
Monitorizarea este procesul prin care datele despre evolutia unui risc sunt
centralizate, interpretate si raportate. Scopul monitorizarii este de a colecta
informatii cât mai exacte, actuale si oportune si de a le prezenta celor implicati
într-o maniera cât mai clara si mai usor de înteles. Vor fi desemnate anumite
persoane responsabile cu urmarirea si analiza datelor, precum si cu
introducerea
acestor date în planurile de tratare a riscurilor.
Revizuirea riscului este etapa în care se verifica rezultatele obtinute în urma
masurilor implementate. Responsabilitatile privind monitorizarea si revizuirea
trebuie stabilite cu claritate, aceste procese trebuind sa cuprinda toate aspectele
managementului riscurilor.

6. Documentarea procesului de management al riscurilor

Activitatile de management al riscurilor trebuie sa fie trasabile, documentarea
asigurând baza îmbunatatirii metodelor, instrumentelor si a procesului în
ansamblul sau.

Pasul strategic în abordarea managementului riscurilor în cadrul unei

organizatii din perspectiva standardului international ISO 31000: 2009
„Managementul riscurilor: principii si linii directoare privind implementarea”
este constientizarea riscului, respectiv formularea unei filozofii de risc si
stabilirea unei politici de abordare a riscului.
Managementul riscurilor implica necesitatea de a ne asigura ca deciziile
organizatiei sunt cele mai bune posibil, date fiind constrângerile de timp si de
resurse. Managementul riscurilor, în acceptiunea sa cea mai generala,
reprezinta „totalitatea metodelor si mijloacelor prin care este gestionata
incertitudinea, ca baza majora a factorilor de risc, în scopul îndeplinirii
obiectivelor organizatiei”.

8 din 8