ΔΙΑΧΕΙΡΙΣΗ ΚΙΝΔΥΝΩΝ ΣΤΗΝ ΕΠΙΧΕΙΡΗΣΗ

Σημείωση: Κανονικά η διαχείριση αυτή, ονομάζεται Διαχείριση Επικινδυνότητας, αλλά έχει επικρατήσει ο όρος Διαχείριση Κινδύνων.

Η Διαχείριση Επικινδυνότητας περιλαμβάνει δυο διακριτά είδη διαχείρισης κινδύνων που απασχολούν τις επιχειρήσεις: Τους κινδύνους από τη Λειτουργία της επιχείρησης (οργάνωση, τρόπος και αντικείμενο, τεχνολογία) και τους Χρηματοοικονομικούς (Δάνεια, Επενδύσεις κλπ.). Στο άρθρο αυτό θα ασχοληθούμε με τους κινδύνους κατά τη Λειτουργία της επιχείρησης και όχι τους χρηματοοικονομικούς, καθώς ο τρόπος διαχείρισης στη μια και την άλλη περίπτωση διαφέρει.

Στη σημερινή εποχή, το διαρκώς μεταβαλλόμενο επιχειρηματικό περιβάλλον διακρίνεται από συνεχείς εξελίξεις στον τομέα των τεχνολογιών, από την εισαγωγή καινοτομιών στις δραστηριότητες των επιχειρήσεων και υψηλά επίπεδα ανταγωνισμού. Όλες αυτές οι μεταβολές και διαφοροποιήσεις, αποτελούν παράγοντες που συντελούν στην αύξηση των παρουσιαζόμενων κινδύνων, οι οποίοι με τη σειρά τους αποτελούν απειλή για την επίτευξη των τιθέμενων στόχων και σκοπών της κάθε επιχείρησης και ανατρέπουν το στρατηγικό της πλάνο απειλώντας την κερδοφορία της. Ο κίνδυνος είναι συνώνυμο της επιχειρηματικότητας και ο διαρκής εφιάλτης των ανώτατων στελεχών.

Η σωστή αξιολόγηση των κινδύνων, αποτελεί το πιο βασικό στοιχείο για την αποτελεσματική διαχείριση τους και διευκολύνει τη λήψη αποφάσεων και στις τρεις βαθμίδες της ιεραρχίας διαχείρισης κινδύνου, δηλαδή την οργανωτική βαθμίδα, της υλοποίησης και αυτής των τεχνολογικών εφαρμογών (κυρίως συστημάτων των τεχνολογιών πληροφορικής και επικοινωνιών). Αν οι κίνδυνοι σε μια επιχείρηση δεν καταγραφούν και αξιολογηθούν σωστά, τότε είναι πολύ δύσκολο να αντιμετωπιστούν όταν εμφανιστούν. Η αντιμετώπιση των κινδύνων αν δεν έχει υπάρξει προετοιμασία είναι σχεδόν πάντα αποσπασματική και τα αποτελέσματα ανάλογα. Όλες οι αποφάσεις της Διοίκησης πρέπει να λαμβάνονται αφού πρώτα αξιολογηθούν οι κίνδυνοι που εμπεριέχουν, συνεπώς απαιτείται η προετοιμασία της επιχείρησης στο να αναγνωρίσει κατ’ αρχήν τους κινδύνους, στην οργάνωση τη λειτουργία και τις τεχνολογικές της εφαρμογές. Σύμφωνα με έρευνα που έγινε στις ΗΠΑ, το 67% των μικρομεσαίων επιχειρήσεων που επιβίωσαν κατά τη διάρκεια της κρίσης του 2008, είχαν προετοιμαστεί για την αντιμετώπιση κινδύνων, ενώ μόλις το 8% όσων είχαν σχεδιασμό αντιμετώπισης κινδύνων έκλεισαν τελικά [Enterprise Risk Management, 2016, εκδόσεις Παπαζήσης]. Όταν κυριαρχεί αβεβαιότητα, η πιθανότητα για εσφαλμένες εκτιμήσεις γίνεται πολύ μεγαλύτερη και πολύ συχνά αβάστακτη, οδηγώντας σε μοιραία αποτελέσματα. Μόνο οι επιχειρήσεις που έχουν προετοιμαστεί σωστά, αντιμετωπίζουν χωρίς μοιραίους κλυδωνισμούς τους κινδύνους που εμφανίζονται. Σύμφωνα με μελέτη του Ινστιτούτου Ponemon (https://www.ponemon.org) που πραγματοποιεί αναλύσεις και μελέτες για την Ασφάλεια Πληροφοριών, δηλαδή τους τεχνολογικούς κινδύνους, σε παγκόσμια κλίμακα, το 84% των επιχειρήσεων κλείνουν μετά από καταστροφή που σχετίζεται με την ασφάλεια των δεδομένων (data disaster) που επεξεργάζονται. Η μη επαρκής διαχείριση των οργανωτικών και τεχνολογικών κυρίως κινδύνων σε μια επιχείρηση, την επηρεάζει ολιστικά. Προβλήματα που μπορεί να εμφανιστούν από τη μη αναγνώριση και μη ορθολογική διαχείριση των κινδύνων σχετίζονται με: τους πελάτες, τους εργαζόμενους, το θεσμικό πλαίσιο λειτουργίας της επιχείρησης, τις συμφωνίες που έχει συνάψει και όλα αυτά φυσικά επηρεάζουν αρνητικά τη φήμη και τελικά την κερδοφορία της.

Η Διαχείριση Επικινδυνότητας περιλαμβάνει την διατύπωση των κινδύνων που αντιμετωπίζει μια επιχείρηση, την ανάλυσή τους, την ταξινόμησή τους με ορθολογικά κριτήρια, την αποτύπωση της πιθανότητας να συμβούν οι κίνδυνοι, την ανάλυση των επιπτώσεων που θα υπάρξουν (ως προς πελάτες, συνεργάτες, προσωπικό, Θεσμικό Πλαίσιο, Φήμη, χρηματοοικονομικές συνέπειες κλπ). Αποτέλεσμα αυτής της διαδικασίας είναι η “πινακοποίηση” των συνεπειών σε περίπτωση που ο κίνδυνος πραγματοποιηθεί και η μετάφραση κινδύνων και συνεπειών από γλώσσα σε αριθμητική μορφή ώστε να δημιουργηθεί ο «Πίνακας Επικινδυνότητας» της Επιχείρησης. Αυτό, θα οδηγήσει την επιχείρηση να διερευνήσει προληπτικά μέτρα μείωσης είτε της πιθανότητας ή των συνεπειών και σχεδίων αντιμετώπισης για τους κινδύνους με μεγαλύτερο ενός αποδεκτού αριθμητικού ορίου.  Ταυτόχρονα θα βοηθήσει την Επιχείρηση στην επιλογή αντιμέτρων (countermeasures), που είναι συμβατά με την αξία των πόρων που θα προστατεύουν, καθώς και στην ιεράρχηση της υλοποίησης των αντιμέτρων αυτών.

Η αξιολόγηση κινδύνων για τη διαχείριση της επικινδυνότητας εμφανίζεται ως απαίτηση ή/και ως ανάγκη για τις Επιχειρήσεις σε διάφορες περιπτώσεις:

α) Για την αποφυγή προβλημάτων στις διάφορες λειτουργίες τους

β) Για την υλοποίηση Εκτίμησης αντικτύπου που απαιτείται από τον Γενικό Κανονισμό Προστασίας Δεδομένων (ΓΚΠΔ) σύμφωνα με το Άρθρο 35 του ΓΚΠΔ τόσο για τους Υπεύθυνους Επεξεργασίας όσο και για τους Εκτελούντες την Επεξεργασία, σε διάφορες περιπτώσεις που καθορίζονται στο εν λόγω Άρθρο και για την εν γένει συμμόρφωσή τους με τον ΓΚΠΔ

γ) Για την προετοιμασία και εφαρμογή σχεδίων Επιχειρησιακής Συνέχειας και Ανάκαμψης από Καταστροφή (θα αναφερθούμε σε επόμενο άρθρο)

δ) Σε περιπτώσεις που επιθυμούν την πιστοποίησή τους με κάποια Πρότυπα ISO (για παράδειγμα ISO 27001, 27701, 22301, 9001 κλπ) κάτι που σχετίζεται με τον Επιχειρησιακό τους σχεδιασμό και με την προβολή της επιχείρησης (τα τηρούμενα συστήματα ISO αποτελούν ΟΥΣΙΑ αλλά και εργαλείο μάρκετινγκ).

Σήμερα, άρχισε να εμφανίζεται ένα ντόμινο στην Κυπριακή Αγορά, το οποίο ήδη έχει εμφανιστεί έντονα στην Ευρωπαϊκή και Διεθνή. Το ντόμινο οφείλεται:

Α) Στην Οδηγία NIS

Οι (μεγάλες αρχικά) επιχειρήσεις αλλά και οι Κρατικοί Φορείς, στην διαδικασία εναρμόνισής τους με την Ευρωπαϊκή Οδηγία NIS (Network Information Systems) που ενσωματώθηκε στο Δίκαιο κάθε χώρας με αντίστοιχο Εθνικό Νόμο – Νόμοι για την Κυβερνοασφάλεια Κρίσιμων Υποδομών (εκτενέστερα σε επόμενο άρθρο),

Β) Στον Κανονισμό για την Προστασία Δεδομένων Προσωπικού Χαρακτήρα,

Γ) Στην προσπάθεια όλο και περισσότερων επιχειρήσεων να εφαρμόσουν Συστήματα ISO (κυρίως Information Security και Business Continuity).

Το ντόμινο αυτό, ωθεί τις επιχειρήσεις (για τους λόγους Α, Β και Γ) να απαιτούν από τους συνεργάτες τους, να έχουν αντίστοιχες συμμορφώσεις (Information Security, GDPR, Business Continuity, Cyber-security).

Η Κυπριακή Αγορά, ήδη άρχισε να ζει αυτό το ντόμινο.

Κυριάκος Δημητρίου

Training & R&D Director

 V.L Toolbox Express Computer Solutions Ltd