Kako organizacije prepoznaju, procjenjuju i kontroliraju poslovne rizike te zašto su
registar rizika i njegovo godišnje ažuriranje ključni elementi kvalitetnog sustava unutarnjih kontrola.
1. Što je strategija upravljanja rizicima?
Strategija upravljanja rizicima utvrđuje način na koji organizacija sustavno prepoznaje događaje i okolnosti koji mogu utjecati na ostvarenje ciljeva, procjenjuje njihovu vjerojatnost i učinak, određuje prihvatljivu razinu izloženosti te definira odgovornosti, mjere i kontrole.
Upravljanje rizicima nije izdvojena administrativna obveza. Ono treba biti povezano s planiranjem, financijama, nabavom, upravljanjem imovinom, informacijskim sustavima, ljudskim resursima, projektima i svakodnevnim poslovnim procesima.
registar rizika nije popis problema. To je upravljački alat koji povezuje ciljeve, poslovne procese, rizike, postojeće kontrole, odgovorne osobe i mjere.
2. Zašto je upravljanje rizicima važno?
Dobro organiziran sustav upravljanja rizicima omogućuje:
- bolju pripremu za neizvjesnosti i promjene u poslovnom okruženju;
- zaštitu imovine, zakonitosti poslovanja, podataka i ugleda organizacije;
- kvalitetnije i dokumentiranije donošenje odluka;
- smanjenje izvanrednih i neplaniranih troškova;
- jasno utvrđivanje vlasnika rizika i odgovornosti za provedbu mjera;
- dokazivost da se ključne kontrole stvarno provode.
3. Ključni koraci upravljanja rizicima
Praktičan ciklus upravljanja rizicima može se organizirati u četiri međusobno povezana koraka.
Matrica rizika 5 × 5
| Vjerojatnost / učinak | 1 — vrlo mali | 2 — mali | 3 — umjeren | 4 — veliki | 5 — vrlo veliki |
|---|---|---|---|---|---|
| 5 — najvjerojatnije | 5 | 10 | 15 | 20 | 25 |
| 4 — vrlo vjerojatno | 4 | 8 | 12 | 16 | 20 |
| 3 — vjerojatno | 3 | 6 | 9 | 12 | 15 |
| 2 — malo vjerojatno | 2 | 4 | 6 | 8 | 10 |
| 1 — zanemarivo | 1 | 2 | 3 | 4 | 5 |
Matrica služi za prioritizaciju i ne zamjenjuje stručnu procjenu.
4. Godišnji pregled i ažuriranje („resetiranje”) rizika
Izraz „resetiranje rizika” nije zakonski termin. U praksi se njime ponekad opisuje novi godišnji ciklus procjene rizika. Stručno je preciznije govoriti o godišnjoj ponovnoj procjeni, pregledu i ažuriranju registra rizika.
Godišnji pregled ne znači brisanje prethodnih podataka. Potrebno je sačuvati trag prethodnih verzija te ponovno procijeniti rizike prema aktualnim ciljevima, procesima, kontrolama, incidentima, financijskim pokazateljima i promjenama u poslovnom i regulatornom okruženju.
- arhivirati prethodnu verziju registra rizika;
- ponovno procijeniti vjerojatnost i učinak postojećih rizika;
- provjeriti djelotvornost postojećih kontrola i status mjera;
- ukloniti iz aktivnog registra rizike koji više nisu relevantni uz očuvanje povijesnog traga;
- dodati nove rizike i nove mjere;
- utvrditi vlasnike rizika, odgovorne osobe i rokove;
- dokumentirati razloge značajnih promjena ocjena.
Praktično pravilo:
svaki rizik u godišnjem pregledu treba ponovno „zaraditi” svoju ocjenu. Stara ocjena ne prenosi se automatski bez provjere činjenica, kontrola i promijenjenih okolnosti.
5. Zakonsko uporište
Zakon o sustavu unutarnjih kontrola u javnom sektoru (NN 78/15, 102/19 i 105/25) uređuje upravljanje rizicima kao sastavni dio sustava unutarnjih kontrola. Izmjenama iz 2025. članak 12. propisuje da odgovorna osoba institucije treba uspostaviti integrirano upravljanje rizicima.
Za trgovačka društva i druge pravne osobe u većinskom javnom vlasništvu koje ispunjavaju uvjete za razvrstavanje u velike poduzetnike, članak 17.a stavak 6. propisuje da odbor najmanje jednom godišnje procjenjuje primjenu politika i strategija te djelotvornost postupaka integriranog upravljanja rizicima i daje preporuke za unaprjeđenje.
Zato je važno razlikovati opću potrebu za redovitim ažuriranjem registra rizika od posebne zakonske godišnje obveze iz članka 17.a stavka 6., koja se odnosi na obveznike određene tim člankom.
6. Kako organizirati godišnje ažuriranje registra rizika?
Godišnji pregled najbolje je povezati s pripremom plana poslovanja, financijskog plana ili drugog godišnjeg planskog dokumenta. Novi ciljevi i prioriteti tako se odmah povezuju s rizicima koji bi mogli ugroziti njihovo ostvarenje.
- prikupiti prethodnu verziju registra i izvještaje o provedbi mjera;
- analizirati incidente, nepravilnosti, nalaze revizije i nadzora te ostvarena odstupanja;
- provjeriti jesu li ciljevi i poslovni procesi promijenjeni;
- ponovno procijeniti inherentni i rezidualni rizik;
- za visoke rizike utvrditi konkretne mjere, rokove i odgovorne osobe;
- odobriti ažurirani registar i osigurati dokaz o provedenom godišnjem pregledu.
7. Zaključak
Dobro osmišljena strategija upravljanja rizicima povećava otpornost organizacije, transparentnost i kvalitetu upravljanja. Registar rizika ima stvarnu vrijednost samo ako je povezan s ciljevima i poslovnim procesima, ako se mjere provode i ako se procjene redovito preispituju.
Godišnji pregled treba promatrati kao upravljački postupak kojim se provjerava što se promijenilo, koje su kontrole djelotvorne i gdje je potrebno usmjeriti upravljačku pažnju u novom razdoblju.
SEVOI KONZORCIJ pruža stručnu podršku u području sustava unutarnjih kontrola, FMC-a, upravljanja rizicima i povezivanja rizika s poslovnim procesima.
Nema komentara