Ο λειτουργικός κίνδυνος ορίζεται ως ο κίνδυνος απώλειας που προέρχεται από ανεπαρκείς ή αποτυχημένες εσωτερικές διαδικασίες, ανθρώπινα λάθη, αποτυχία συστημάτων ή εξωτερικά γεγονότα (BCBS, 2006). Σε αντίθεση με τους χρηματοοικονομικούς ή πιστωτικούς κινδύνους, ο λειτουργικός κίνδυνος σχετίζεται άμεσα με τον τρόπο με τον οποίο λειτουργεί ένας οργανισμός καθημερινά.

Τα χαρακτηριστικά του λειτουργικού κινδύνου είναι τα ακόλουθα:

• Είναι πολυδιάστατος: Μπορεί να προέρχεται από ανθρώπους, διαδικασίες, τεχνολογία ή εξωτερικούς παράγοντες.
• Είναι δύσκολα ποσοτικοποιήσιμος: Σε σχέση με χρηματοοικονομικούς κινδύνους είναι δύσκολο να οριστεί επακριβώς σε χρηματικούς όρους.
• Είναι διαρκώς εξελισσόμενος: Ιδιαίτερα με την πρόοδο της τεχνολογίας.
• Μπορεί να επηρεάσει πολλαπλούς τομείς: Π.χ., φήμη, κόστος, νομικά θέματα.

Δύο σημαντικά πλαίσια χρησιμοποιούνται διεθνώς για τη διαχείριση των κινδύνων:

ISO 31000 (2018): Παρέχει γενικές κατευθύνσεις για τη διαχείριση κινδύνων σε κάθε οργανισμό. Δίνει έμφαση στη διακυβέρνηση, την ηγεσία και την ενσωμάτωση του risk management στη στρατηγική και στις διαδικασίες.

COSO ERM (2017): Το πλαίσιο αυτό επικεντρώνεται στην ενσωμάτωση της διαχείρισης κινδύνου στη λήψη αποφάσεων. Περιλαμβάνει οκτώ στοιχεία: εσωτερικό περιβάλλον, καθορισμός στόχων, αναγνώριση γεγονότων, εκτίμηση κινδύνων, ανταπόκριση σε κινδύνους, έλεγχοι, πληροφορίες και επικοινωνία, καθώς και παρακολούθηση.

Διερεύνηση του Θέματος

Η αποτελεσματική διαχείριση του λειτουργικού κινδύνου προϋποθέτει τη συστηματική προσέγγιση πολλαπλών πεδίων. Τα ακόλουθα πεδία είναι κρίσιμα για τη μείωση και αντιμετώπιση τέτοιων κινδύνων.

Η κουλτούρα του οργανισμού αποτελεί θεμέλιο για την πρόληψη λειτουργικών κινδύνων. Η διοίκηση οφείλει να διαμορφώνει ένα περιβάλλον όπου η διαφάνεια, η υπευθυνότητα και η προληπτική σκέψη είναι ενσωματωμένες σε όλες τις βαθμίδες (COSO, 2017). Στο δημόσιο τομέα, αυτό συνδέεται άρρηκτα με την έννοια της λογοδοσίας, ενώ στον ιδιωτικό τομέα με τη φήμη και την εταιρική υπευθυνότητα.

Η αναγνώριση και αξιολόγηση των λειτουργικών κινδύνων αποτελεί βασικό στάδιο της διαδικασίας. Εργαλεία όπως risk matrices, heat maps και σενάρια πιθανών αποτυχιών χρησιμοποιούνται για την εκτίμηση της πιθανότητας και των επιπτώσεων. Ο δημόσιος τομέας συχνά εφαρμόζει τέτοιες πρακτικές στο πλαίσιο εθνικών στρατηγικών κινδύνου, ενώ ο ιδιωτικός τομέας τις ενσωματώνει στη στρατηγική διαχείρισης εταιρικής συνέχειας (ERM). Κύριο μέλημα της εκάστοτε διοίκησης είναι η διασφάλιση του Going Concern δηλαδή της απρόσκοπτης συνέχισης της εταιρικής δραστηριότητας ή του οργανισμού.

Οι μηχανισμοί ελέγχου αποτελούν το “τελευταίο οχυρό” στην άμυνα κατά των λειτουργικών κινδύνων. Η δομή ενός αποτελεσματικού εσωτερικού ελέγχου περιλαμβάνει διπλούς ελέγχους (segregation of duties), αυτοματοποιημένα συστήματα ελέγχου μέσω ERP και την παρακολούθηση κρίσιμων διαδικασιών σε πραγματικό χρόνο.

Στον δημόσιο τομέα, οι Ανεξάρτητες Ελεγκτικές Αρχές (π.χ. Ελεγκτικό Συνέδριο) και οι Μονάδες Εσωτερικού Ελέγχου (Internal Audit Units) παίζουν κρίσιμο ρόλο, ενώ στον ιδιωτικό τομέα, οι Επιτροπές Ελέγχου και οι γραμμές άμυνας είναι καθοριστικές για την διαχείριση του Λειτουργικού Κινδύνου σε έναν οργανισμό. Ένας από τους βασικούς πυλώνες λειτουργίας του Εσωτερικού Ελέγχου είναι η διαχείριση κινδύνων.

Η διαχείριση κινδύνων συστημάτων πληροφορικής είναι σήμερα εξίσου καθοριστική. Η ψηφιοποίηση συνεπάγεται νέες ευπάθειες. Η εφαρμογή πολιτικών ασφαλείας πληροφορικής (π.χ. ISO/IEC 27001), η συνεχής παρακολούθηση συστημάτων και η εκπαίδευση του προσωπικού μειώνουν την πιθανότητα κυβερνοεπιθέσεων. Ειδικά στο δημόσιο, όπου υπάρχουν σημαντικά δεδομένα πολιτών και διαβαθμισμένη πληροφορία, η προστασία των συστημάτων είναι κρίσιμη για τη διαφύλαξη της δημόσιας εμπιστοσύνης.

Πολλοί λειτουργικοί κίνδυνοι απορρέουν από ανθρώπινα λάθη. Η διαρκής εκπαίδευση του προσωπικού στις εσωτερικές πολιτικές, τις διαδικασίες και τις ηθικές αξίες του οργανισμού συμβάλλει στη μείωση των λαθών και στη βελτίωση της διαχείρισης κρίσεων. Συγκεκριμένα, στο δημόσιο τομέα, η ανάγκη για εκσυγχρονισμό του ανθρώπινου δυναμικού είναι ιδιαίτερα έντονη, καθώς υπάρχει σημαντική έλλειψη καταρτισμένου και εξειδικευμένου προσωπικού ενώ στον ιδιωτικό, πολλές επιχειρήσεις επενδύουν σε προγράμματα compliance training και behavioral risk management για να καλύψουν τις τρέχουσες ανάγκες τους. Οι σχέσεις με εξωτερικούς προμηθευτές, εργολάβους και συνεργάτες μπορούν να εισάγουν λειτουργικούς κινδύνους. Κίνδυνοι όπως η εξάρτηση από έναν προμηθευτή, η έλλειψη διαφάνειας στις συμβάσεις ή η μη συμμόρφωση τρίτων με νομικές απαιτήσεις μπορούν να δημιουργήσουν σοβαρά προβλήματα. Η δημιουργία πλαισίου αξιολόγησης τρίτων, οι σαφείς συμβατικές δεσμεύσεις και η συνεχής αξιολόγηση της απόδοσης αποτελούν καλές πρακτικές και για τους δύο τομείς.

Η συμμόρφωση με την ισχύουσα νομοθεσία (φορολογική, εργατική, περιβαλλοντική κ.λπ.) και τις κανονιστικές απαιτήσεις αποτελεί ένα ακόμα βασικό πεδίο πρόληψης κινδύνου. Η λειτουργία γραφείων κανονιστικής συμμόρφωσης (compliance offices), η ενημέρωση για αλλαγές στο νομικό πλαίσιο και η διαρκής παρακολούθηση είναι αναγκαίες πρακτικές. Η μη συμμόρφωση μπορεί να οδηγήσει σε χρηματικά πρόστιμα, νομικές κυρώσεις ή και απώλεια φήμης – με ιδιαίτερη έμφαση σε τομείς όπως οι τράπεζες, οι φαρμακευτικές εταιρείες ή οι δημόσιες συμβάσεις.

Η χρήση Key Risk Indicators (KRIs) επιτρέπει την προληπτική παρακολούθηση πιθανών κινδύνων. Ενδεικτικά παραδείγματα είναι:

• Αριθμός παραπόνων πελατών.
• Συχνότητα καθυστερήσεων στις παραδόσεις.
• Ποσοστά συμμόρφωσης.

Η ύπαρξη μηχανισμών για την αναφορά λειτουργικών περιστατικών (incident reporting) βοηθά στη συνεχή βελτίωση του συστήματος διαχείρισης κινδύνου.

Η προετοιμασία για ακραία ή απρόβλεπτα γεγονότα, όπως φυσικές καταστροφές ή πανδημίες, απαιτεί σχέδια επιχειρησιακής συνέχειας (Business Continuity Plans) και σχέδια ανάκαμψης από καταστροφή (Disaster Recovery Plans). Αυτά περιλαμβάνουν:

• Εναλλακτικούς τρόπους λειτουργίας.
• Εκκένωση χώρων.
• Επικοινωνία με βασικούς ενδιαφερόμενους.

Οι οργανισμοί που επένδυσαν έγκαιρα σε τέτοιες πρακτικές κατά την πανδημία COVID-19 είχαν σημαντικά καλύτερη ανταπόκριση.

Συμπεράσματα

Η αποτελεσματική διαχείριση λειτουργικού κινδύνου αποτελεί ζωτικής σημασίας διαδικασία για όλους τους τύπους οργανισμών. Οι διαφορές μεταξύ δημόσιου και ιδιωτικού τομέα επηρεάζουν τη δομή και την προτεραιοποίηση των δράσεων, ωστόσο τα βασικά πεδία εφαρμογής είναι κοινά: διακυβέρνηση, τεχνολογία, ανθρώπινο δυναμικό, εξωτερικές σχέσεις και κανονιστική συμμόρφωση.

Η εφαρμογή ενός συνδυασμού εργαλείων, πολιτικών και κουλτούρας διαχείρισης κινδύνου προσφέρει την αναγκαία ανθεκτικότητα και ευελιξία στους οργανισμούς για να ανταποκριθούν στις προκλήσεις του σύγχρονου περιβάλλοντος.