Ryzyko rezydualne

Ryzyko inherentne to poziom ryzyka, jakby nie było żadnych zabezpieczeń. Po wdrożeniu kontroli zostaje ryzyko rezydualne, czyli to, z czym realnie żyjesz. To rezydualne porównujesz z apetytem na ryzyko, żeby zdecydować, czy wystarczy, czy trzeba zrobić więcej.

Kluczowe jest, żeby liczyć je po, a nie przed. Macierz ryzyk w arkuszu często pokazuje stary wynik, bo ktoś wdrożył kontrolę, ale nie przeliczył efektu. Po pół roku nie wiadomo, które ryzyka są aktualne.

Akceptacja ryzyka rezydualnego to też decyzja, ale musi być świadoma i zapisana. “Nie zrobiliśmy nic, bo zapomnieliśmy” to nie akceptacja, to luka, którą kontrola wychwytuje od razu.