Egy beszerzési osztályon három jóváhagyó ír alá minden rendelést. A folyamatgazda szerint ez lassít, a kockázatkezelő szerint enélkül nincs kontroll. Az a baj, hogy mindkettőnek igaza van. A legtöbb cégnél a folyamatmenedzsment és a kockázatmenedzsment két külön világban él. Az egyik a sebességet és a költséget optimalizálja, a másik statikus táblázatokban vezeti a veszélyeket, amelyekhez a napi működésben senki nem nyúl. A szigorodó szabályozás és a bizonytalan ellátási láncok miatt ez a kettősség ma már drága luxus. Egy integrált megoldásban a kockázatot ott kezelik, ahol keletkezik: magában a folyamatban.

Két szakterület, egy közös nyelv

Az üzleti folyamatmenedzsment (BPM) a szervezetet egymáshoz kapcsolódó tevékenységek láncolataként látja, amelynek célja a mérhető vevői és üzleti érték. Az ISO 31000:2018 szabvány (és annak hivatalos magyar megfelelője, az MSZ ISO 31000:2018) a kockázatot pontosan így határozza meg: „a bizonytalanság hatása a célokra”. A szabvány szerint a kockázatkezelésnek közvetlenül be kell épülnie a mindennapi folyamatokba.

A klasszikus GRC-modellek (irányítás, kockázatkezelés, megfelelés) évtizedekig merev keretek között működtek. Az integrált kockázatmenedzsment (IRM) kifejezést a Gartner vezette be 2017-ben. A két szemlélet a fókuszban tér el: a GRC elsősorban a megfelelést tartja szem előtt, az IRM a teljesítményt és az üzleti eredményt. A Gartner definíciója szerint az IRM hat alapelemre épül: stratégia, értékelés, reagálás, kommunikáció és jelentéstétel, nyomon követés, valamint technológia. A stratégia az üzleti célokhoz köti a kockázati keretet, az értékelés minden területen rangsorolja a bizonytalanságokat. A technológia pedig egy helyre gyűjti és valós időben elemzi a kockázati adatokat.

Folyamatmenedzsment integrált kockázatmenedzsment a gyakorlatban: ahol a kockázat a folyamatábrára költözik

Egy különálló kockázati regiszter kevés. A kockázati eseményeket és a kontrollpontokat bele kell építeni a folyamatmodellekbe (BPMN) és a munkafolyamatokba. Három módszer segít ebben.

1. A folyamatkockázat-térképezés elemi lépésekre bontja a folyamatot, és lépésenként vizsgálja a bemeneti, végrehajtási és kimeneti kockázatokat. Kimutatja a kontroll nélküli veszélyt, a meglévő kontrollokat és a maradványkockázatot. Így kiderül, melyik lépés hibája vezethet bírsághoz vagy leálláshoz, és hol futnak fölösleges ellenőrzések. Hátránya az erőforrásigény: ha a folyamat változik, a térkép gyorsan elavul.

2. A kockázat- és kontroll-önértékelést (RCSA) maguk a folyamatgazdák végzik, az első védelmi vonal képviselőiként. Ők értékelik, mennyire működnek valójában a kontrollok. Ez oldja az ellenőrzéssel szembeni ellenállást. A gyenge pontja a szubjektivitás: a dolgozók hajlamosak szépíteni a kontrollok állapotát.

3. A folyamat-hibamód- és hatáselemzés (Process FMEA) a gyártásból érkezett, de pénzügyi, tranzakciós és szolgáltatási folyamatokban is jól használható. A csapat végigveszi a lehetséges hibákat, és azok súlyosságát, gyakoriságát és észlelhetőségét számszerűsíti, így világos sorrend születik a beavatkozásokhoz. Hátránya, hogy komoly módszertani tudást kíván, és könnyen adminisztratív teherré válik.

A Siemens-lecke: feleannyi aláírás, gyors riasztás

A Siemens a Celonis folyamatintelligencia-platformjával kötötte össze a folyamatbányászatot és a valós idejű kockázatkezelést. A beszerzéstől a kifizetésig tartó (P2P) területen 500 munkatárs használja a rendszert a szűk keresztmetszetek és a kockázatok felderítésére. Feltárták a fölösleges jóváhagyási lépéseket és a lehetséges csalási mintákat. Az újraszervezés után a közvetlen anyagbeszerzések jóváhagyóinak száma a felére csökkent.

A legerősebb bizonyíték egy vészhelyzetből jött. Amikor egy fontos beszállító gyárában tűz ütött ki, a Siemens egy órán belül automatikus riasztást kapott. A rendszer rögtön megmutatta az érintett rendeléseket, a cég pedig alternatív beszállítót vont be, mielőtt a versenytársak reagáltak volna. A gyárakban a naponta kétszer nyomtatott ütemezési jelentések helyére 15 percenként frissülő kijelzők kerültek, az adatokat pedig naponta háromszor összehangolják a régiók között.

A régiónk vezetői ennél óvatosabbak. A PwC globális kockázati felmérésének közép-kelet-európai részében 218 felsővezető válaszolt, köztük magyarok is. Közülük csak 31 százalékuk nagyon magabiztos abban, hogy egyensúlyt tud tartani a növekedés és a kockázatkezelés között, míg globálisan ez az arány 40 százalék. A régió vezetőinek 49 százaléka inkább lehetőségnek tekinti a generatív mesterséges intelligenciát, mint kockázatnak, globálisan ez az arány 60 százalék.

Külső szem, belső felelősség: az interim vezető szerepe

Válság idején a belső vezetői kapacitás ritkán elég egy integrált rendszer gyors felépítéséhez. Az INIMA, az interim menedzserek nemzetközi szövetsége szerint az interim menedzsment tapasztalt felsővezetők határozott idejű megbízása, teljes operatív felelősséggel, gyors eredményekért és a tudás átadásáért.

Az interim vezetőt nem kötik a belső politikai érdekek, ezért ki tudja mondani, hol takargatnak folyamathibát, és melyik kontrollpont gyenge. A tanácsadó javaslatcsomagot ad át, az interim menedzser operatív felelősséggel lép be, és maga hajtja végre a beavatkozásokat. A megbízás harmadik pillére a képességátadás: a korszerű gyakorlatnak az interim vezető távozása után is működnie kell.

Silók, szűk büdzsé és szigorodó szabályok

A leggyakoribb buktató a silókultúra. Az osztályok féltékenyen őrzik a saját adataikat, így senki nem látja egyben a kockázatokat. A FIS Global adatai szerint a pénzügyi szolgáltatók 38 százalékánál az átláthatóság hat a legerősebben a kockázati tényezőkre. Ekkora átláthatóság integrált technológia nélkül nem érhető el.

A pénz is szűk keresztmetszet. A PwC amerikai felmérésében a kockázati vezetők 75 százaléka mondta, hogy a pénzügyi nyomás korlátozza a fejlett kockázatfelmérő és -monitorozó technológiák beszerzését. Mindössze 31 százalékuk vesz részt az informatikai reziliencia stratégiájának kialakításában. Közben 61 százalékuk úgy látja, hogy egy átlagos versenytárs legfeljebb hat évig marad életben az üzleti modellje megváltoztatása nélkül.

Magyarországon a szabályozás is sürget. A pénzügyi intézményeknél a DORA-rendelet folyamatszintű nyilvántartást és tesztelést ír elő a harmadik félhez kapcsolódó IKT-kockázatokra. A tágabb vállalati kört a NIS2-irányelv érinti, amelyet 2022. december 27-én hirdettek ki, és 2023. január 16-án lépett hatályba. A kiemelt ágazatokban naplózni kell a biztonsági eseményeket, és folyamatalapon kell értékelni az ellátási lánc kockázatait.

Mérőszámok, amelyek előre szólnak

Az utólagos megfelelési igazolások keveset mondanak arról, mennyit ér az integrált rendszer. Ehhez olyan mutatórendszer kell, amely a teljesítménymutatókat (KPI) összeköti a korai figyelmeztető kockázati mutatókkal (KRI). Jó kiindulópont a kockázatértékelés átfutási ideje munkanapokban, valamint a redundáns kontrollok aránya, amely megmutatja, hány ellenőrzés fedi le ugyanazt a kockázatot több osztályon. A folyamateltérési ráta valós időben jelzi a szabálytalan tranzakciókat. A kockázati reakcióidő órában méri a küszöbérték átlépése és a beavatkozás közti időt.

Digitális iker és gépi őrszem: merre tart a terület?

A folyamatbányászat a vállalatirányítási rendszerek eseménynaplóiból rekonstruálja, hogyan futnak valójában a folyamatok. Így létrejön a működés élő digitális ikre, amely azonnal jelzi a tervtől való kockázatos eltéréseket.

A generatív mesterséges intelligencia a kontrolltervezést gyorsítja. A fejlett IRM-platformok olyan könyvtárral dolgoznak, amely több mint 10 000 előre beállított kontrollt tartalmaz az ISO, a SOX, a HIPAA és a GDPR szerint. Az AI a folyamatleírásokból kontrolljavaslatokat fogalmaz meg, ami jelentősen lerövidíti a bevezetést.

A folyamatos kontrollmonitorozás (CCM) az időszakos auditokat valós idejű felügyeletre cseréli. Ha egy tranzakció átlépi a küszöböt, a rendszer leállítja, vagy riasztja a folyamatgazdát.

Az integrált folyamat- és kockázatmenedzsment ugyanarra a képességre épül, mint az interim menedzsment: úgy kell átlátni a működést, hogy közben a gépezet egy percre se álljon le. Mindkettő ott teremt értéket, ahol a döntés és a végrehajtás egy kézbe kerül, és a kontroll a napi munka része lesz. Ha az Ön cégénél is külön életet él a folyamat és a kockázat, az Interim Kft. tapasztalt vezetői segítenek a kettőt működő rendszerré összeépíteni, és úgy átadni, hogy a távozásuk után is megálljon a lábán.

GYIK

Mi az integrált folyamat- és kockázatmenedzsment?

Az integrált folyamat- és kockázatmenedzsment a kockázatkezelést közvetlenül az üzleti folyamatokba építi be. Így nem egy külön táblázatban él. A kockázati események és a kontrollpontok bekerülnek a folyamatmodellekbe és a mindennapi munkafolyamatokba. Ezt az ISO 31000:2018 szabvány is előírja. Ez a szabvány a kockázatot „a bizonytalanság hatása a célokra” formában határozza meg.

Mi a különbség a GRC és az integrált kockázatmenedzsment (IRM) között?

A klasszikus GRC-modell (irányítás, kockázatkezelés, megfelelés) elsősorban a szabályoknak való megfelelésre figyel. Az integrált kockázatmenedzsment (IRM) a teljesítményt és az üzleti eredményt helyezi a középpontba. Az IRM kifejezést a Gartner vezette be 2017-ben. A Gartner szerint hat alapelemre épül: stratégia, értékelés, reagálás, kommunikáció és jelentéstétel, nyomon követés, valamint technológia.

Milyen módszerekkel lehet a kockázatokat beépíteni az üzleti folyamatokba?

Három módszer terjedt el. A folyamatkockázat-térképezés lépésenként vizsgálja a folyamat kockázatait és kontrolljait. A kockázat- és kontroll-önértékelésben (RCSA) maguk a folyamatgazdák értékelik a kontrollok működését. A folyamat-hibamód- és hatáselemzés (Process FMEA) a hibák súlyosságát, gyakoriságát és észlelhetőségét számszerűsíti. Mindegyiknek van korlátja: a térkép gyorsan elavul, az önértékelés szubjektív, az FMEA pedig komoly módszertani tudást kíván.

Van konkrét vállalati példa arra, hogy az integrált megközelítés megtérül?

Igen, a Siemens esete. A vállalat a Celonis folyamatintelligencia-platformjával kötötte össze a folyamatbányászatot és a valós idejű kockázatkezelést. A beszerzési területen a közvetlen anyagbeszerzések jóváhagyóinak száma a felére csökkent. Egy beszállítói gyártűznél a Siemens egy órán belül automatikus riasztást kapott, és alternatív beszállítót vont be, mielőtt a versenytársak reagáltak volna.

Mikor érdemes interim menedzsert bevonni a folyamat- és kockázatkezelés átalakításába?

Leginkább válság vagy gyors átalakulás idején érdemes, amikor a belső vezetői kapacitás nem elég egy integrált rendszer felépítéséhez. Az interim vezetőt nem kötik a belső politikai érdekek, ezért kimondja, hol gyenge egy kontrollpont. A tanácsadóval szemben operatív felelősséggel lép be, és maga hajtja végre a beavatkozásokat. A megbízás része a tudásátadás, így a rendszer a távozása után is működik.