EY oznacza globalną organizację i może odnosić się do jednej lub więcej firm członkowskich Ernst & Young Global Limited, z których każda stanowi odrębny podmiot prawny. Ernst & Young Global Limited, brytyjska spółka z ograniczoną odpowiedzialnością, nie świadczy usług na rzecz klientów.
Zobacz wszystkie wyniki dla
'
'
Brak wyników wyszukiwania
Ogólne
Zobacz wszystkoLudzie
Zobacz wszystkoOstatnie wyszukiwania
TRANSFORMACJA ZARZĄDZANIA RYZYKIEM
Gdy świat zmienia się z dnia na dzień, czy potrafisz działać w tempie, które buduje zaufanie?
W nieliniowym, zmiennym i wzajemnie powiązanym otoczeniu zaufanie buduje się decyzjami podejmowanymi na bieżąco, a nie podczas okresowych przeglądów.
W skrócie
- Modele operacyjne zarządzania ryzykiem muszą ewoluować: zamiast skupiać się na nadzorze i raportowaniu, powinny wspierać decyzje biznesowe i uruchamiać działania po wystąpieniu określonych sygnałów.
- Podejście stawiające strategię na pierwszym miejscu, oparte na sygnałach uruchamiających działania i odpowiednio zarządzane, pozwala firmom reagować szybko i pewnie.
- Rozwój, transakcje i kryzysy to konkretne momenty, które mogą stać się impulsem do modernizacji.
Artykuł powstał na podstawie publikacji EY Global „When the world shifts overnight, can you operate at the speed of trust?”. Zapoznaj się z oryginalną pełną wersją.
W listopadzie 2025 r., w szóstym tygodniu rekordowo długiego zawieszenia działalności rządu USA, Federalna Administracja Lotnictwa (The Federal Aviation Administration, FAA) zarządziła tymczasowe ograniczenie liczby lotów na 40 najbardziej ruchliwych lotniskach w kraju – początkowo o 4%, a tydzień później o 10%. Chociaż skala interwencji była znacząca, jej uzasadnienie pozostawało niewystarczające. W komunikacie prasowym FAA wyjaśniła, że decyzję podjęto z powodu „czynników wpływających na personel”, które doprowadziły do „wzrostu liczby zgłoszeń dotyczących obciążenia systemu”.
W lotnictwie zarządzanie ryzykiem systemowym często opiera się na sygnałach i z góry określonych progach. To sektor, w którym incydent może wywołać efekt domina w złożonej sieci, a precyzyjne procedury regulują wszystko – od obsługi technicznej samolotów po listy kontrolne w kokpicie. Wiele linii lotniczych określiło więc sygnały ryzyka, takie jak awarie IT, niekorzystna pogoda czy wypadki lotnicze, oraz przypisało im gotowe procedury reagowania: wcześniej zaplanowane zmiany tras, zapasowe systemy informatyczne i ustandaryzowane zasady komunikacji.
Kilka miesięcy przed interwencją FAA amerykańska linia lotnicza uziemiła loty w kilku dużych portach przesiadkowych z powodu problemu technicznego z systemem śledzenia lotów i zarządzania zasobami. Być może trudno przypomnieć sobie to zdarzenie – i właśnie o to chodzi. Procedury zadziałały, a problem rozwiązano w ciągu kilku godzin, nie stając się nawet istotnym tematem w codziennych wiadomościach. A wszystko dzięki skutecznym sygnałom uruchamiającym reakcję, które pozwalają szybko i w kontrolowany sposób opanować problem, zanim eskaluje, oraz chronić zaufanie.
2026 EY Global Risk Transformation Study - Operating Models PDF
Porównajmy to z bardziej zapadającymi w pamięć niechlubnymi przypadkami, gdy zdarzenia przerodziły się w pełnowymiarowy kryzys, który ciągnął się przez wiele dni i kosztował linie lotnicze bardzo dużo – nie tylko w postaci strat finansowych i kar, lecz także uszczerbku na reputacji i utraty zaufania interesariuszy.
Wygranym dobrze zarządzanego ryzyka jest właśnie zaufanie interesariuszy. Ma to szczególne znaczenie w dzisiejszym nieliniowym, dynamicznym, zmiennym i wzajemnie powiązanym otoczeniu operacyjnym (NAVI). Powiedzenie, że zaufanie buduje się powoli, a traci w jednej chwili, jest dziś bardziej aktualne niż kiedykolwiek: kryzysy pojawiają się częściej, szybko eskalują i wywołują nieprzewidywalne skutki kaskadowe. Gdy zaufanie systematycznie słabnie, stawka rośnie w jeszcze szybszym tempie.
Tradycyjne modele operacyjne zarządzania ryzykiem – powolne i oparte na okresowych przeglądach – zasadniczo nie przystają do dynamicznego i nieliniowego otoczenia zewnętrznego. Aby działać w tempie pozwalającym budować zaufanie, modele te muszą być:
- oparte przede wszystkim na strategii: priorytety, apetyt na ryzyko i wskaźniki należy wiązać z założeniami strategicznymi dotyczącymi przyszłej wartości, a nie z wynikami historycznymi;
- oparte na sygnałach uruchamiających działania: należy określić sygnały, progi i uprawnienia decyzyjne zatwierdzone z wyprzedzeniem, aby osoby odpowiedzialne mogły działać, gdy zmienią się warunki;
- wspierane odpowiednim ładem organizacyjnym: zasady nadzoru i eskalacji należy określić z wyprzedzeniem, aby działać bez zbędnych opóźnień.
Zmiany te przesuwają zarządzanie ryzykiem od reaktywnego reagowania ku proaktywnemu projektowaniu. Pozwalają działać w sposób zdecydowany w warunkach niepewności bez utraty kontroli.
Korzyści z takiego podejścia są wyraźne. Stratedzy ryzyka, którzy postrzegają funkcję zarządzania ryzykiem jako wsparcie strategicznego rozwoju, są lepiej przygotowani na wstrząsy w środowisku NAVI niż tradycjonaliści. Częściej deklarują poprawę wyników w kilku obszarach: identyfikacji incydentów i szybkości reakcji (77% vs. 57%), ograniczaniu liczby niespodziewanych ryzyk (74% vs. 50%) oraz właściwej eskalacji ryzyka i podejmowaniu decyzji (74% vs. 55%).
1
Rozdział 1
Strategia przede wszystkim: znaczenie zaczyna się na wczesnym etapie
Decyzje dotyczące ryzyka oprzyj na wizji przyszłego kształtu.
Zarządzanie ryzykiem często opiera się na danych historycznych lub – w najlepszym razie – bieżących, podczas gdy strategia dotyczy budowania przyszłości. W warunkach przyspieszonych zmian firmy wchodzą na nowe rynki, zmieniają modele biznesowe i poszukują nowych źródeł wartości. Ryzyka, które na podstawie historycznych skutków finansowych wydawały się nieistotne, mogą zagrozić realizacji celów strategicznych. Dlatego dziś funkcja zarządzania ryzykiem musi nie tylko być zgodna ze strategią, lecz także stawiać ją na pierwszym miejscu.
Podejście traktujące strategię priorytetowo zaczyna się od wizji przyszłości firmy – jej oferty, modelu biznesowego i pozycji rynkowej – i na tej podstawie określa m.in. apetyt na ryzyko, priorytety oraz działania. Zamiast opierać się na wynikach i danych historycznych dotyczących strat, uwzględnia założenia na temat klientów, kanałów dystrybucji, regulacji, technologii, łańcuchów dostaw i partnerów, a następnie bada, jak mogą one stracić na aktualności wraz ze zmianą warunków.
Producent samochodów w ramach obecnego modelu biznesowego za kluczowe ryzyka może uznać ceny ropy lub niesprzedane zapasy u dealerów. Dział ds. ryzyka stawiający strategię na pierwszym miejscu analizowałby natomiast przyszły kształt firmy w sektorze zmienianym przez pojazdy elektryczne i modele mobilności jako usługi (MaaS). W takim otoczeniu wykorzystanie usług MaaS, dostęp do metali ziem rzadkich i innych kluczowych surowców oraz zależność od ekosystemów infrastruktury ładowania mogą mieć znacznie większy wpływ na przyszłe wyniki finansowe i perspektywy strategiczne firmy, mimo że dostępnych danych historycznych jest niewiele.
Szwedzki producent sprzętu AGD Electrolux proaktywnie uwzględnia odporność w zarządzaniu ryzykiem i planowaniu inwestycji strategicznych, biorąc pod uwagę możliwe scenariusze klimatyczne. „Zawsze ocenialiśmy wpływ krótkoterminowych zagrożeń pogodowych na nasze zakłady produkcyjne, magazyny i dostawców. Teraz analizujemy różne ryzyka klimatyczne w perspektywie 20–30 lat i zastanawiamy się, jak na tej podstawie kształtować strategię” – mówi Ulrich Adamheit, dyrektor ds. zarządzania ryzykiem grupy w Electrolux.
2
Rozdział 2
Sygnały uruchamiające działania: dostosowanie do dzisiejszego tempa
Zastąp przeglądy kalendarzowe działaniami uruchamianymi przez określone sygnały.
O ile podejście stawiające strategię na pierwszym miejscu określa, co jest ważne, o tyle model operacyjny oparty na sygnałach uruchamiających działania tworzy architekturę ryzyka, która umożliwia szybkie i wiarygodne działania. Spełnia dwa zadania. Po pierwsze, określa, kiedy należy podjąć decyzję i kto jest do tego uprawniony, wykorzystując sygnały, progi oraz wcześniej przyznane uprawnienia decyzyjne. Po drugie, wskazuje działania wzmacniające gotowość, które warto podjąć zawczasu, np. wyjaśnić zakres odpowiedzialności decyzyjnej, określić możliwości ograniczania ryzyka, przećwiczyć procedury w symulacjach (w tym ćwiczeniach tabletop, TTE) i usunąć luki, jeszcze zanim pojawi się sygnał do działania.
Nie chodzi o przewidywanie każdego zdarzenia ani zapisywanie z góry każdej możliwej reakcji. Żaden model nie jest w stanie przewidzieć wszystkich zakłóceń, a nieoczekiwane ryzyka i straty nadal będą się pojawiać. Celem jest wyznaczenie domyślnej ścieżki postępowania w większości sytuacji oraz rozwinięcie dyscypliny i zdolności do improwizacji, gdy zajdzie taka potrzeba.
To przejście od opisywania ryzyka do projektowania warunków, w których podejmowane są decyzje. Organizacje, które wdrażają sygnały uruchamiające działania, tworzą szybszy i bardziej spójny rytm pracy, oparty na jasno określonych progach, a nie wyłącznie na uznaniowej decyzji kierownictwa.
Proces zaczyna się od przełożenia założeń strategicznych na sygnały wskazujące, że warunki zmieniają się w sposób istotny dla tworzenia wartości. Sygnały są stale monitorowane i zestawiane z obiektywnymi progami, które określają, kiedy należy zareagować i jaki poziom reakcji będzie właściwy. Poziom ten wyznacza cztery elementy: uprawnienia decyzyjne, działania, ścieżkę eskalacji i częstotliwość komunikacji.
Większość firm stosujących strategię zarządzania ryzykiem korzysta z trzech poziomów reakcji: monitorowania, ograniczania ryzyka i mobilizacji. Każdy poziom ma określonych właścicieli, wymagane działania, ścieżki eskalacji i zasady komunikacji. Dla każdego sygnału należy wskazać właściciela danych, sposób pomiaru, częstotliwość aktualizacji oraz jedną osobę odpowiedzialną za decyzję po przekroczeniu progu.
Rozważmy przykład dużej organizacji przygotowującej się na ewentualność konfliktu transgranicznego w regionie narastających napięć geopolitycznych. Firma może stworzyć system monitorowania, który obejmuje różne scenariusze eskalacji – od presji politycznej i gospodarczej o niskim natężeniu po wojnę hybrydową i konflikt zbrojny na pełną skalę. Dla każdego scenariusza może określić działania, które warto podjąć od razu, takie jak dywersyfikacja krytycznych zależności, oraz wcześniej zatwierdzone środki zaradcze, które uruchamiane są na kolejnych poziomach eskalacji – np. rozdzielenie stosów technologicznych, by w miarę pogarszania się sytuacji odizolować lokalne operacje.
W ten sposób szybkość staje się cechą strukturalną. Organizacja nie musi dopiero w chwili zakłócenia ustalać, kto odpowiada za dane ryzyko – zakresy odpowiedzialności, uprawnienia i ścieżki eskalacji są już określone. Jedynym zadaniem po uruchomieniu sygnału pozostaje działanie.
Gdy nadchodzi kryzys, organizacja nie debatuje nad procedurą, lecz uruchamia wcześniej przygotowany plan. Dział ds. zarządzania ryzykiem nie kieruje każdą reakcją, ale opracowuje plan, angażuje właściwe osoby i aktualizuje go na podstawie ćwiczeń, wniosków z incydentów i okresowych przeglądów.
Co najważniejsze, nadzór podąża za sygnałem. Kontrola i niezależne zapewnienie działania uruchamiają się proporcjonalnie do wagi sytuacji, dzięki czemu zachowana jest odpowiedzialność bez wprowadzania dodatkowych opóźnień. Wyniki działań, zdarzenia potencjalnie niebezpieczne i prawdziwe niespodzianki zasilają proces uczenia się: pomagają doskonalić sygnały, korygować progi, aktualizować procedury i wzmacniać gotowość. Z każdą kolejną reakcją organizacja działa szybciej i bardziej spójnie.
3
Rozdział 3
Ład organizacyjny: jasne zasady i koordynacja
Określ odpowiedzialność, nadzór, eskalację i zagwarantuj, że organizacja będzie działać szybko i bezpiecznie.
Sygnały określają, kiedy należy podjąć decyzję; a ład organizacyjny – kto działa, a kto eskaluje. Tradycyjne ramy, takie jak zarządzanie ryzykiem korporacyjnym (ang. enterprise risk management, ERM), zintegrowane zarządzanie ryzykiem (ang. integrated risk management, IRM) i model trzech linii, nadal są niezbędne, ale muszą działać w tempie wyznaczanym przez sygnały, a nie kalendarz. Dzięki odpowiedniemu zarządzaniu decyzje są szybko podejmowane, spójne, możliwe do skontrolowania i nie spowalniają działań.
W wielu organizacjach nadzór to nadal cykliczne przeglądy ryzyka. Modele oparte na sygnałach wymagają czegoś innego: jasnych uprawnień, czytelnych ścieżek eskalacji zależnych od wagi sytuacji oraz gwarancji, że działania podejmowane są na bieżąco, a nie raz na kwartał. Nie chodzi o zastąpienie istniejących struktur, lecz o ich dostosowanie tak, aby role, nadzór i gwarancje działania wynikały z architektury sygnałów i progów.
Zmienia się również sposób działania modelu trzech linii. Pierwotnie miał on rozdzielać obowiązki i zapobiegać konfliktom. W środowisku NAVI celem jest skoordynowana odpowiedzialność pierwszej i drugiej linii, przy zachowaniu – tam, gdzie to wymagane – niezależnej gwarancji ze strony trzeciej linii. Akcent przesuwa się ze sztywnych granic na skoordynowany przepływ decyzji po przekroczeniu progów.
Zmianę tę dobrze ilustruje to, jak wiodące organizacje już teraz dostosowują swoje działania.
W branżach podlegających regulacjom, takich jak usługi finansowe, trzecia linia bywa wyraźnie oddzielona. W wielu innych sektorach firmy dążą jednak do ściślejszej współpracy między wszystkimi trzema liniami. Przykładem jest Marathon Petroleum Company. Podczas wspólnego wywiadu Kelly Niese, wiceprezes ds. skarbu, i Kelly Wright, wiceprezes ds. audytu, opowiedziały o korzyściach takiego podejścia. „Formalne powiązanie ERM-u z audytem wewnętrznym rozpoczęliśmy kilka lat temu, aby uzyskać spójny obraz ryzyka i posługiwać się wspólnym językiem” – mówi Niese. „Dzięki temu możemy dynamicznie oceniać ryzyko i dostosowywać plany audytu do zagrożeń dotyczących całej organizacji” – dodaje Wright.
Kierunek zmian jest wyraźny. „Uważam, że z czasem trzy linie będą coraz lepiej zsynchronizowane i zintegrowane” – mówi Satish Kumaraswami, wiceprezes ds. globalnego zarządzania ryzykiem modeli w Scotiabank. „Dużo inwestujemy w pierwszą linię, aby menedżerowie biznesowi naprawdę rozumieli ryzyko i czuli się za nie odpowiedzialni. W ten sposób budujemy solidne podstawy zarządzania ryzykiem. Druga linia może wtedy pełnić przede wszystkim funkcję kontrolną i przejąć część tradycyjnych zadań trzeciej linii, koncentrując się na nowych ryzykach, lukach wskazanych przez samą organizację i testowaniu kontroli. Trzecia linia mogłaby zaś skupić się na ciągłym monitorowaniu zamiast na tradycyjnych, okresowych audytach”.
David Hildebrand, dyrektor ds. audytu w ServiceNow, również dostrzega zacieranie się granic między liniami. „Nie sądzę, by za pięć lat potrzebna była odrębna druga linia w jej dotychczasowym kształcie” – mówi „Pierwsza i trzecia linia mogą ściślej współpracować, a druga pełnić funkcję doradczą wobec trzeciej albo nawet całkowicie zniknąć. Ostatecznie potrzebujemy zarządzania ryzykiem, które przekłada się na wyniki biznesowe”.
Nie sądzę, by za pięć lat potrzebna była odrębna druga linia w jej dotychczasowym kształcie. Pierwsza i trzecia linia mogą ściślej współpracować, a druga pełnić funkcję doradczą wobec trzeciej albo nawet całkowicie zniknąć. Ostatecznie potrzebujemy zarządzania ryzykiem, które przekłada się na wyniki biznesowe.
Te perspektywy potwierdzają wspólny wzorzec: ład organizacyjny jest najskuteczniejszy, gdy wspiera model operacyjny, zamiast z nim kolidować. Jasno określa odpowiedzialność, przyspiesza eskalację i umożliwia prowadzenie dokumentacji oraz kontroli bez zbędnych opóźnień.
Struktury organizacyjne nadal będą się różnić. Niektóre firmy centralizują ERM, by zapewnić spójność; inne przekazują odpowiedzialność jednostkom biznesowym, by zwiększyć elastyczność. Większość strategów ryzyka wybiera model hybrydowy, łączący standardy ogólnofirmowe z odpowiedzialnością lokalną. O przewadze nie decyduje sama struktura, lecz jej spójność: wspólny język, zgodne metody i role umożliwiające działanie w różnym tempie.
Światowy producent zintegrowanych układów półprzewodnikowych stosuje model hybrydowy. „Odpowiedzialność za zarządzanie ryzykiem wpisano w zakres obowiązków kadry kierowniczej. Wspiera ją sieć ambasadorów ERM i odporności, którzy prowadzą ten proces w swoich obszarach” – wyjaśnia wiceprezes grupy, odpowiedzialny za ryzyko korporacyjne. „Takie podejście łączy centralne wytyczne z lokalnym wdrażaniem i pomaga nam uwzględniać wzajemne powiązania między ryzykami”.
Wraz z przyspieszeniem procesów zarządzania muszą rozwijać się również kompetencje. Członkowie zarządów i liderzy ds. ryzyka potrzebują lepszego rozeznania w technologiach i AI, a liderzy pierwszej linii – większej biegłości w zarządzaniu ryzykiem. W coraz bardziej dynamicznym otoczeniu rośnie znaczenie ciekawości, gotowości do kwestionowania założeń i myślenia niekonwencjonalnego. Sposób myślenia staje się równie ważny jak umiejętności.
„Budując zespół ds. ryzyka, niekoniecznie szukam osób z rozległą wiedzą w tej dziedzinie” – mówi Mark Dingle, niezależny doradca i były partner firmy członkowskiej EY. „Bardziej zależy mi na osobach bystrych, ciekawych świata i zdeterminowanych. Łatwiej nauczyć kogoś zagadnień związanych z ryzykiem, niż wykształcić w nim właściwe nastawienie”.
Pracownicy firm będących strategami ryzyka i tradycjonalistami mają dziś podobne cechy, jednak stratedzy częściej dostrzegają, że w przyszłości kluczowe będzie innowacyjne podejście. Około dwa razy częściej niż tradycjonaliści wskazują, że pracownicy będą musieli wykazywać się umiejętnością współpracy i odwagą, być nastawieni na innowacje, otwarci na odmienne opinie oraz gotowi do stosowania niestandardowych metod.
Technologia prowadzi do kolejnego etapu przyspieszenia. Sztuczna inteligencja i platformy GRC zmieniają nadzór okresowy w ciągły wgląd w sytuację. Trzecia linia zyskuje dostęp do informacji w czasie rzeczywistym, druga może działać bardziej predykcyjnie, a pierwsza – samodzielnie korzystać z analiz ryzyka. Stratedzy już teraz planują zwiększyć kompetencje technologiczne i analityczne o ponad 20%.
„Wiele zadań w obszarze ERM-u można przekształcić dzięki AI” – mówi Katie Timm, dyrektor ds. zgodności i ryzyka w Cigna. „Wdrażamy agentów, którzy dostosowują informacje o ryzyku do potrzeb pracowników, oraz pulpity i karty wyników prezentujące aktualne dane odpowiednie do danej roli. Chcemy, by pracownicy mogli samodzielnie korzystać z tych informacji, a zgodność i zarządzanie ryzykiem wspierały biznes. Dane i technologia mają zwiększać efektywność oraz skuteczność całego modelu operacyjnego”.
Wiele zadań w obszarze ERM-u można przekształcić dzięki AI. Wdrażamy agentów, którzy dostosowują informacje o ryzyku do potrzeb pracowników, oraz pulpity i karty wyników prezentujące aktualne dane odpowiednie do danej roli. Chcemy, by pracownicy mogli samodzielnie korzystać z tych informacji, a zgodność i zarządzanie ryzykiem wspierały biznes. Dane i technologia mają zwiększać efektywność oraz skuteczność całego modelu operacyjnego.
„Zarządzanie ryzykiem powinno wykorzystywać AI, automatyzację i ciągłą ocenę” – mówi Vinod Madhavan, dyrektor ds. bezpieczeństwa informacji w Solstice Advanced Materials. „Ręczne oceny jakościowe ustępują miejsca ilościowej analizie wspieranej technologią i ciągłemu monitorowaniu mechanizmów kontrolnych. Sztuczna inteligencja pomaga wykrywać nowe ryzyka i trendy, ujednolicać wymagania oraz kontrole wspólne dla różnych regulacji, a także rekomendować działania i podsumowywać informacje na potrzeby decyzji – bez zastępowania ludzkiego osądu”.
Nie chodzi o stworzenie nowej hierarchii, lecz systemu nadzoru, który działa w tempie wyznaczanym przez sygnały, umożliwia zdecydowane działania i zapewnia rozliczalność na każdym etapie. To ład organizacyjny dostosowany do świata NAVI: szybszy, bardziej przejrzysty, spójniejszy i ściśle powiązany z realizacją strategii.
4
Rozdział 4
Znajdź punkt wyjścia
Rozwój, transakcje i naruszenia mogą stać się okazją do przemyślenia modelu operacyjnego.
Zmiana modelu operacyjnego zarządzania ryzykiem wymaga transformacji, a każda organizacja rozpoczyna ją z innego miejsca. Podejście traktujące strategię priorytetowo i uruchamiające działania na podstawie sygnałów wyznacza kierunek zmian. Punkt wyjścia zależy od sytuacji firmy, m.in. sektora, stopnia dojrzałości, skali działalności, dotychczasowych procesów i kultury.
Zasada jest prosta: pierwszy krok nie musi być duży, ale powinien wyznaczać właściwy kierunek. Każde działanie powinno przybliżać organizację do modelu opartego na sygnałach i strategii, zamiast utrwalać powolny system przeglądów kalendarzowych, który ma być finalnie zastąpiony.
Nie każda firma może od razu przeprojektować cały model operacyjny. Niektóre zaczynają od kamieni milowych rozwoju, inne od dużych transakcji, a jeszcze inne dopiero wtedy, gdy wstrząs wywołuje pilną potrzebę i mandat do działania. Oto przykłady:
1. Rozwój i dojrzewanie
„Budowanie systemu zarządzania ryzykiem w szybko rozwijającej się firmie technologicznej wiąże się z wyjątkowymi wyzwaniami” – mówi Walid Sleiman, lider ds. GRC w obszarze technologii cyfrowych w ServiceNow. „Liderzy ds. ryzyka muszą zadbać o trzy rzeczy. Po pierwsze, myśleć ambitnie, zaczynać od małych kroków i działać szybko – korzystać ze sprawdzonych ram branżowych, zamiast wymyślać wszystko od nowa, oraz dopasowywać je do rzeczywistych potrzeb i skali organizacji. Po drugie, traktować technologię jako mnożnik możliwości. Automatyzacja i AI są niezbędne, by skalować zarządzanie ryzykiem, prowadzić ciągły monitoring i podejmować decyzje w tempie biznesu. Po trzecie, zapewnić zgodność działań interesariuszy. Skuteczne zarządzanie ryzykiem wymaga stałej współpracy zespołów, łączenia ryzyk indywidualnych i funkcjonalnych w spójny obraz całej organizacji, na podstawie którego kierownictwo może działać. Właśnie to połączenie pozwala czerpać wartość z programu zarządzania ryzykiem”.
Start-upy zazwyczaj zaczynają od wąskiego zakresu zarządzania ryzykiem – koncentrują się np. na zgodności z przepisami lub rodzajach ryzyka szczególnie istotnych dla ich sektora i działalności. Wraz z rozwojem firmy, kolejnymi rundami finansowania, wejściem na giełdę czy ekspansją na nowe rynki i do nowych regionów pojawia się uzasadnienie dla bardziej kompleksowego podejścia.
Aby przyniosło ono efekty, trzeba je dostosować do zwinnego charakteru organizacji i go uszanować. Przykładem jest opisana poniżej perspektywa lidera ds. ryzyka z globalnej firmy z branży nauk przyrodniczych, która wdrożyła takie rozwiązanie po okresie gwałtownego wzrostu.
2. Transakcje
W dużych firmach ważna transakcja może stać się punktem wyjścia do transformacji modelu operacyjnego zarządzania ryzykiem. Takie transakcje zwykle wiążą się ze zmianami i restrukturyzacją modelu działania całej organizacji, stwarzając zarazem okazję do ponownej oceny podejścia do ryzyka. Uzasadnienie biznesowe transformacji jest łatwiejsze, gdy łączy się ją z wynikami biznesowymi i celami strategicznymi firmy.
Wydzielenie w październiku 2025 r. Solstice Advanced Materials ze spółki dominującej pokazuje, jak transakcja może stworzyć okazję do przeprojektowania modelu operacyjnego zarządzania ryzykiem. Solstice musiała zbudować nową funkcję zarządzania ryzykiem, a tym samym mogła wybrać optymalną strukturę i najlepsze podejście dla każdego elementu modelu operacyjnego.
Niezależnie od tego, czy chodzi o transakcję, szybko rozwijający się start-up czy dużą firmę przechodzącą istotną transformację, strategiczne partnerstwo z dostawcą usług zarządzanych może pomóc pokonać wiele trudności. Takiego partnera warto traktować jako sposób na zwiększenie możliwości i usunięcie wąskich gardeł, a nie jedynie źródło oszczędności. Model „najpierw transformacja, potem przekazanie” pozwala szybko rozwijającej się firmie lub nowo wydzielonemu podmiotowi zbudować dojrzałe kompetencje, zanim przejmie je do własnej organizacji. Z kolei usługi zarządzane mogą pomóc firmom prowadzącym dużą transformację zarządzania ryzykiem „utrzymać silnik w ruchu podczas jego przebudowy”: zapewnić bieżącą realizację zadań przy równoległym wdrażaniu zmian, ograniczyć ryzyko w okresie przejściowym i utrzymać tempo działań.
3. Wstrząsy i naruszenia
Zarządzanie ryzykiem szczególnie dobrze ilustruje maksyma, że nie można zmarnować dobrego kryzysu. Nie jest to zupełnie nowe podejście: firmy regularnie wykorzystują cyberataki, by ponownie ocenić i wzmocnić zabezpieczenia.
W bardziej zmiennym i nieprzewidywalnym otoczeniu operacyjnym firmy będą coraz częściej doświadczać wstrząsów zewnętrznych – zarówno incydentów dotyczących konkretnej organizacji, jak i kryzysów systemowych, takich jak pandemie czy napięcia geopolityczne. Każdy z nich może stać się okazją do wyciągnięcia wniosków i odnowy.
Celem jest rozwijanie nie tylko sprężystości (zdolności do „odkształcenia się” pod wpływem obciążenia i powrotu do pierwotnego stanu), lecz także plastyczności (zdolności do przystosowania się poprzez przyjęcie zupełnie nowej formy). Jak zmienić model operacyjny, by organizacja lepiej radziła sobie z podobnymi wstrząsami w przyszłości?
Stawka jest dziś wyższa niż kiedykolwiek wcześniej. Odporność w świecie NAVI oznacza nie tylko ochronę tego, co już istnieje, lecz także umożliwianie tego, co dopiero nadejdzie. Wygrają organizacje, których modele operacyjne zarządzania ryzykiem będą nadążać za tempem strategii, decyzji i oczekiwań interesariuszy.
Zarządzanie ryzykiem znalazło się w przełomowym momencie. Niewiele innych funkcji ma mandat obejmujący całą organizację, przekrojową perspektywę i umocowanie instytucjonalne pozwalające przekładać niepewność na wspólne założenia, progi decyzyjne i ścieżki eskalacji. Odpowiednio umiejscowiona funkcja ryzyka nie hamuje tempa, lecz umożliwia działanie, które można powtarzać, któremu można ufać i które pozostaje zgodne ze strategią.
Autorzy dziękują za wkład w powstanie artykułu: Kyle’owi Lawlessowi, Senior Manager – Risk Consulting, Ernst & Young LLP; AnnMarie Pino, Associate Director, Ernst & Young LLP; Joe’emu Morecroftowi, Associate Director, EYGS LLP; oraz Williamowi Reidowi, Assistant Director, Ernst & Young LLP.
Podsumowanie
Tradycyjne, powolne i oparte na okresowych przeglądach modele operacyjne zarządzania ryzykiem nie przystają już do otoczenia NAVI. Aby działać w „tempie budującym zaufanie”, organizacje muszą przeprojektować zarządzanie ryzykiem tak, by stawiało strategię na pierwszym miejscu, uruchamiało działania na podstawie określonych sygnałów i opierało się na odpowiednim ładzie organizacyjnym. Oznacza to zakotwiczenie ryzyka w przyszłych założeniach strategicznych, określenie sygnałów i progów aktywujących działania oraz dostosowanie nadzoru tak, by wspierał szybkie decyzje. Skuteczne inicjatywy transformacyjne uwzględniają uwarunkowania i ograniczenia konkretnej organizacji.
Polecane artykuły
Szybkość, skala i możliwości analityczne AI mogą zmienić sposób budowania odporności w dzisiejszym złożonym środowisku ryzyka.
Jak na nowo zdefiniować odporność wobec kolejnych wyzwań związanych z podatnością na zagrożenia?
Badanie EY pokazuje, jak liderzy cyberbezpieczeństwa wykorzystują możliwości najnowszych modeli AI, by wzmacniać odporność organizacji.
Badanie EY Global Risk Transformation Study 2025 pokazuje, jak stratedzy ryzyka wcześniej dostrzegają zakłócenia, szybciej się dostosowują i precyzyjniej reagują.
