Ryzyko operacyjne to możliwość poniesienia straty wskutek zawodnych procesów, błędów ludzi, niesprawnych systemów lub zdarzeń zewnętrznych. Nie dotyczy wyłącznie awarii komputerów. Strata może powstać także wtedy, gdy pracownik błędnie wykona dyspozycję, kontrola nie wykryje pomyłki albo dostawca przerwie świadczenie usługi.
Pojęcie stosuje się szczególnie w bankowości, ale pomaga też opisywać zagrożenia w małej firmie. Z perspektywy klienta skutkiem bywa opóźniona usługa lub konieczność wyjaśnienia nieprawidłowej operacji. Z perspektywy firmy dochodzą koszty naprawy błędu, przestoju i obsługi reklamacji.
Skąd bierze się ryzyko operacyjne
Źródłem problemu może być źle zaprojektowany proces: niejasny podział zadań, brak kontroli albo procedura niedostosowana do rzeczywistej pracy. Nawet sprawny system nie zapobiegnie stracie, jeśli dane trafią do niewłaściwego odbiorcy lub nikt nie zauważy błędnego wpisu. Liczy się cały przebieg czynności, nie tylko jej ostatni etap.
Drugą grupę tworzą działania ludzi i zawodność narzędzi. Pracownik może pomylić dane, a aplikacja może przestać przekazywać poprawne informacje. Przyczyną bywają również oszustwa, zarówno popełnione wewnątrz organizacji, jak i wymierzone w nią z zewnątrz. Samo wystąpienie błędu nie przesądza jeszcze o wysokości straty.
Zdarzenie zewnętrzne to na przykład przerwa w dostawie energii albo awaria usługi, od której firma zależy. Organizacja nie musi kontrolować przyczyny takiego zdarzenia, by ponosić jego skutki. Dlatego ocena ryzyka obejmuje również zależności od dostawców i możliwość pracy wtedy, gdy zwykły sposób obsługi zawiedzie.
Jakie skutki może odczuć klient i firma
Klient banku może zauważyć niedostępność usługi, błędny zapis operacji albo opóźnienie w załatwieniu sprawy. Na przykład bankomat, który zatrzymał kartę, oznacza problem wymagający wyjaśnienia, choć sam w sobie nie dowodzi straty pieniędzy. Sposób postępowania w takiej sytuacji opisuje tekst o tym, co oznacza karta zatrzymana przez bankomat.
W małej firmie podobny mechanizm może zakłócić wystawianie dokumentów, przyjmowanie zamówień lub rozliczanie płatności. Bezpośrednim kosztem bywa poprawienie danych czy odtworzenie pracy. Osobną konsekwencją mogą być reklamacje i utrata zaufania klientów. Nie każda usterka powoduje wszystkie te skutki, dlatego trzeba ustalić jej rzeczywisty przebieg.
Ryzyko operacyjne może też wiązać się z ujawnieniem informacji osobie nieuprawnionej. Przyczyną może być błędny adres odbiorcy, wadliwe uprawnienie w systemie albo niewłaściwie wykonana czynność. W banku znaczenie ma wtedy również zakres tajemnicy bankowej. Samo usunięcie usterki nie wyjaśnia jeszcze, czy informacja została ujawniona.
Jak organizacja ogranicza takie ryzyko
Punktem wyjścia jest ustalenie, które czynności mogą się nie udać i jakie byłyby skutki. Firma może prześledzić drogę zamówienia, płatności lub dyspozycji klienta, a następnie wskazać miejsca podatne na pomyłki. Taka analiza jest bardziej użyteczna niż ogólne stwierdzenie, że pracownicy powinni zachować ostrożność.
Następnie organizacja dobiera zabezpieczenia do problemu. Mogą to być jasne instrukcje, sprawdzanie danych przed wykonaniem czynności, rozdzielenie zadań lub rozwiązanie zastępcze na czas awarii. Zabezpieczenie też może zawieść. Dlatego trzeba sprawdzać, czy działa w codziennej pracy, a nie tylko figuruje w dokumentach.
Po incydencie ważne jest ustalenie przyczyny i zakresu skutków. Samo poprawienie błędnego wpisu nie wystarczy, jeśli ten sam proces pozwoli na kolejną pomyłkę. Zgromadzone informacje pomagają zmienić sposób pracy i ocenić, czy zmiana przyniosła efekt. Ryzyka nie da się całkowicie usunąć, można jednak ograniczać jego prawdopodobieństwo i skutki.
Czym różni się od ryzyka rynkowego i kredytowego
Ryzyko rynkowe wiąże się ze zmianami cen lub innych wielkości rynkowych. Ryzyko kredytowe dotyczy możliwości, że dłużnik nie wywiąże się ze zobowiązania. Ryzyko operacyjne ma inne źródło: sposób działania organizacji albo zdarzenie zakłócające jej pracę. Kategorie mogą się spotkać, dlatego przy ocenie straty trzeba ustalić, co ją spowodowało.
Jeśli klient nie spłaca długu z powodu własnych trudności, problem nie wynika automatycznie z błędu operacyjnego banku. Jeśli jednak bank błędnie zapisze spłatę lub niewłaściwie obsłuży dyspozycję, pojawia się ryzyko operacyjne. Rozróżnienie pomaga dobrać reakcję: inaczej poprawia się proces, a inaczej ocenia zdolność dłużnika do spłaty.
W bankach ryzyko operacyjne jest uwzględniane przy wyznaczaniu wymogów kapitałowych. Unijne rozporządzenie CRR definiuje je jako ryzyko straty z niewłaściwych lub zawodnych procesów, ludzi, systemów albo zdarzeń zewnętrznych, łącznie z ryzykiem prawnym. Od 17 stycznia 2025 r. instytucje finansowe stosują też rozporządzenie DORA o operacyjnej odporności cyfrowej. Nie oznacza to jednak, że każdą możliwą awarię da się sprowadzić do jednej kwoty. Obok oceny strat potrzebne są procedury, kontrole i plany działania podczas zakłóceń. O nadzorze nad bankami przeczytasz w haśle o Komisji Nadzoru Finansowego.
Najczęstsze pytania
Nie. Występuje wszędzie tam, gdzie działalność zależy od ludzi, ustalonego sposobu pracy, systemów lub usług dostawców. Bank może błędnie obsłużyć dyspozycję, a mała firma może utracić dostęp do danych zamówień. Różnią się skala i skutki, lecz źródło problemu pozostaje podobne.
Nie każda awaria prowadzi do straty. Znaczenie mają jej skutki: czas niedostępności usługi, konieczność poprawienia operacji czy koszty przywrócenia pracy. Awaria jest zdarzeniem, które może uruchomić ryzyko. Dopiero analiza pokazuje, co rzeczywiście się wydarzyło i jakie były konsekwencje.
Tak, oszustwo może być źródłem straty operacyjnej. Może pochodzić od osoby pracującej w organizacji albo od osoby z zewnątrz. Ważne jest rozpoznanie sposobu działania sprawcy i słabości, którą wykorzystał. Pozwala to dobrać zabezpieczenia do konkretnego zagrożenia, zamiast traktować wszystkie oszustwa jednakowo.
Nie. Nawet dobrze przygotowana organizacja nie przewidzi każdej pomyłki, awarii czy sytuacji zewnętrznej. Może natomiast ograniczać możliwość wystąpienia problemu, wcześniej wykrywać nieprawidłowości i przygotować sposób reagowania. Celem jest także zmniejszenie skutków zdarzenia, jeśli mimo zabezpieczeń do niego dojdzie.
Źródła:
- Rozporządzenie (UE) nr 575/2013 (CRR), art. 4 ust. 1 pkt 52 – definicja ryzyka operacyjnego (łącznie z ryzykiem prawnym); wymogi kapitałowe z tytułu ryzyka operacyjnego
- Rozporządzenie (UE) 2022/2554 (DORA) w sprawie operacyjnej odporności cyfrowej sektora finansowego – stosowane od 17 stycznia 2025 r.
- Bazylejski Komitet Nadzoru Bankowego – Revisions to the principles for the sound management of operational risk (2021)
- Prawo bankowe (t.j. Dz.U. 2026 poz. 38), art. 104 – tajemnica bankowa
