Zarządzanie ryzykiem operacyjnym chroni firmę przed stratami z powodu awarii, błędów ludzi, wadliwych procedur i zdarzeń zewnętrznych. Wyjaśniamy, czym jest to ryzyko, jak się nim zarządza w firmie i w banku oraz jakie obowiązki mają przedsiębiorcy.
Czym jest ryzyko operacyjne
KNF w Rekomendacji M definiuje je jako możliwość straty z powodu niedostosowania lub zawodności procesów wewnętrznych, ludzi i systemów albo zdarzeń zewnętrznych.
Definicja obejmuje również ryzyko prawne. Nie obejmuje natomiast ryzyka reputacji ani ryzyka strategicznego, które wiążą się z ryzykiem biznesowym.
KNF przypomina jednak, że zdarzenia operacyjne mogą zaszkodzić reputacji. W 2013 r. nazwała ryzyko operacyjne drugim najistotniejszym w bankach, po kredytowym.
| Źródło ryzyka | Przykład |
|---|---|
| Procesy | brak kontroli w procedurze, jeden dostawca kluczowego materiału |
| Ludzie | pomyłka pracownika, odejście kluczowej osoby, nadużycie |
| Systemy | awaria sprzętu lub oprogramowania, utrata danych |
| Zdarzenia zewnętrzne | pożar, powódź, cyberatak, awaria u dostawcy |
| Ryzyko prawne | spór z klientem, kara za naruszenie przepisów |
Cztery sposoby postępowania z ryzykiem
Rekomendacja M wymienia cztery sposoby postępowania z ryzykiem. Można je stosować także poza bankami.
- akceptowanie – świadome przyjęcie ryzyka, czasem z rezerwą na pokrycie strat,
- ograniczanie – lepsze procesy, procedury, kontrole i systemy,
- transferowanie – przeniesienie ryzyka na inny podmiot, np. przez ubezpieczenie lub outsourcing,
- unikanie – rezygnacja z działań, z którymi wiąże się zagrożenie.
Gdy żaden sposób nie wystarcza, trzeba ograniczyć działalność albo się z niej wycofać. KNF zastrzega też, że ubezpieczenie nie zastępuje zarządzania ryzykiem.
Outsourcing przenosi część ryzyka, ale tworzy nowe, np. zależność od jednej firmy. Opisuje to tekst o outsourcingu usług finansowych.
Za podwykonawców przy wykonaniu umowy firma odpowiada wobec klienta jak za własne działanie. Tak stanowi art. 474 Kodeksu cywilnego.
Identyfikacja i ocena ryzyka
KNF wymienia cztery narzędzia: samooceny, bazy zdarzeń, mapy ryzyka i analizy scenariuszy. Samoocena to odpowiedzi kierowników obszarów na pytania albo warsztaty eksperckie.
Baza zdarzeń to rejestr incydentów i strat. Pokazuje, które ryzyka naprawdę się zdarzają i ile kosztują.
Ramy dla każdej organizacji daje norma PN-ISO 31000:2018 „Zarządzanie ryzykiem – Wytyczne”. To wytyczne, więc norma nie służy do certyfikacji.
Proces według ISO 31000 obejmuje komunikację, ustalenie kontekstu i kryteriów, ocenę ryzyka, postępowanie z nim, monitorowanie oraz raportowanie.
Sama ocena ryzyka składa się z jego identyfikacji, analizy i ewaluacji.
Ryzyko operacyjne w polskich firmach – dane
Według GUS w 2024 r. incydent bezpieczeństwa ICT miało 24,0% firm zatrudniających co najmniej 10 osób. W dużych firmach było to 38,0%.
Najczęściej była to awaria sprzętu lub oprogramowania, która dotknęła 22,0% firm. Ujawnienie poufnych danych dotyczyło 0,7% firm.
W 2025 r. kopie zapasowe w innej lokalizacji przechowywało 60,7% małych firm, 86,7% średnich i 97,4% dużych.
Mniej więcej co trzecia mała firma nie ma więc kopii danych poza siedzibą.
CERT Polska przyjął w 2025 r. 658 320 zgłoszeń i obsłużył 260 783 incydenty. Ataków ransomware było 179, najczęściej na firmy i instytucje.
Obowiązki każdej firmy
Ogólny obowiązek zarządzania ryzykiem operacyjnym mają instytucje finansowe. Każda firma ma jednak obowiązki dotyczące konkretnych źródeł tego ryzyka.
- Pracodawca ocenia i dokumentuje ryzyko zawodowe oraz informuje o nim pracowników (art. 226 Kodeksu pracy).
- Księgi prowadzone komputerowo wymagają systematycznych kopii zapasowych (art. 71 ustawy o rachunkowości).
- Naruszenie ochrony danych osobowych zgłasza się do UODO w ciągu 72 godzin od jego stwierdzenia (art. 33 RODO).
- Przy wysokim ryzyku dla osób trzeba je też zawiadomić o naruszeniu (art. 34 RODO).
Ochronę danych klientów w praktyce opisuje tekst o zarządzaniu relacjami z klientami.
Cyberbezpieczeństwo – kogo dotyczy KSC
Od 3 kwietnia 2026 r. obowiązuje znowelizowana ustawa o krajowym systemie cyberbezpieczeństwa. Wprowadziła podmioty kluczowe i ważne.
Obejmuje głównie średnie i duże firmy z sektorów wymienionych w załącznikach do ustawy. Mikro- i małe firmy co do zasady jej nie podlegają, poza wyjątkami.
Firma objęta ustawą składa wniosek o wpis do wykazu w ciągu 6 miesięcy. Na wdrożenie obowiązków ma 12 miesięcy.
Musi systematycznie szacować ryzyko incydentów i wdrożyć m.in. plany ciągłości działania, plany awaryjne oraz uwierzytelnianie wieloskładnikowe.
Wczesne ostrzeżenie o poważnym incydencie wysyła się w ciągu 24 godzin od jego wykrycia, a zgłoszenie w ciągu 72 godzin.
Za cyberbezpieczeństwo odpowiada kierownik podmiotu, nawet gdy powierzy zadania innej osobie. Raz w roku musi przejść szkolenie.
Kara dla podmiotu ważnego sięga 7 mln euro lub 1,4% przychodów, a dla kluczowego 10 mln euro lub 2% przychodów. Stosuje się kwotę wyższą.
Ryzyko operacyjne w banku
Prawo bankowe wymaga, by w banku działał system zarządzania, a w nim system zarządzania ryzykiem i system kontroli wewnętrznej.
System zarządzania ryzykiem służy do identyfikacji, pomiaru lub szacowania, kontroli i monitorowania ryzyka. Projektuje go zarząd, a skuteczność ocenia rada nadzorcza.
Od 17 stycznia 2025 r. banki stosują unijne rozporządzenie DORA o operacyjnej odporności cyfrowej. Nadzór sprawuje KNF, która może nakładać kary.
Dobre praktyki opisuje Rekomendacja M KNF. Zarząd odpowiada w niej za pisemną strategię, a bank ma mieć komórkę lub osobę do spraw ryzyka operacyjnego.
Bank powinien też mieć plany ciągłości działania i plany awaryjne.
Ryzyko kredytowe w banku opisuje tekst o zabezpieczeniu przed ryzykiem kredytowym.
Ryzyko a decyzje zarządu
Członek zarządu spółki nie narusza obowiązku staranności, gdy działa lojalnie w granicach uzasadnionego ryzyka gospodarczego. Powinien przy tym opierać się na informacjach, analizach i opiniach.
Udokumentowana analiza ryzyka chroni więc także zarząd. W spółce akcyjnej rada nadzorcza co roku ocenia skuteczność systemu zarządzania ryzykiem.
Lista kontrolna dla małej firmy
- kopie danych przechowywane poza siedzibą firmy,
- plan ciągłości działania i plan awaryjny na wypadek awarii,
- drugi dostawca kluczowych materiałów i usług,
- rejestr incydentów i strat,
- aktualna ocena ryzyka zawodowego,
- procedura zgłaszania naruszeń danych w 72 godziny.
Najczęstsze pytania o ryzyko operacyjne
To możliwość straty z powodu zawodnych lub źle dopasowanych procesów, ludzi i systemów albo zdarzeń zewnętrznych, łącznie z ryzykiem prawnym. Nie obejmuje ryzyka reputacji ani strategicznego.
Ogólny obowiązek mają instytucje finansowe. Każda firma musi jednak m.in. ocenić ryzyko zawodowe, robić kopie ksiąg prowadzonych komputerowo i zgłaszać naruszenia danych w 72 godziny.
Prawo bankowe wymaga systemu do identyfikacji, pomiaru, kontroli i monitorowania ryzyka. Od 17 stycznia 2025 r. banki stosują też rozporządzenie DORA.
Cztery: akceptowanie, ograniczanie, transferowanie, np. przez ubezpieczenie, i unikanie. KNF zastrzega, że ubezpieczenie nie zastępuje zarządzania ryzykiem.
Źródła:
- KNF – Rekomendacja M dotycząca zarządzania ryzykiem operacyjnym w bankach (2013, PDF)
- KNF – rekomendacje dla banków
- KNF – komunikat o stosowaniu rozporządzenia DORA (17.01.2025)
- Ustawa – Prawo bankowe (t.j. Dz.U. 2026 poz. 38), art. 9, 9a, 9b
- Ustawa o krajowym systemie cyberbezpieczeństwa (t.j. Dz.U. 2026 poz. 20 ze zm.), art. 2, 5, 7c, 8, 8c–8e, 11, 16, 73
- Ustawa z 23.01.2026 o zmianie ustawy o krajowym systemie cyberbezpieczeństwa (Dz.U. 2026 poz. 252)
- Ustawa – Kodeks spółek handlowych (t.j. Dz.U. 2024 poz. 18), art. 293, 382, 483
- Ustawa – Kodeks cywilny (t.j. Dz.U. 2026 poz. 795), art. 471, 474
- Ustawa – Kodeks pracy (t.j. Dz.U. 2026 poz. 1245), art. 226
- Ustawa o rachunkowości (t.j. Dz.U. 2026 poz. 522), art. 71
- Rozporządzenie (UE) 2016/679 (RODO), art. 33, 34 (PDF, UODO)
- GUS – Społeczeństwo informacyjne w Polsce w 2025 r. (PDF)
- NASK – raport CERT Polska za 2025 r. (8.04.2026)
- PKN – zarządzanie ryzykiem (ISO 31000)
- biznes.gov.pl – ocena ryzyka zawodowego
Ryzyko operacyjne może dotyczyć każdego biznesu. Warto mieć plan awaryjny i regularnie aktualizować procedury bezpieczeństwa.
Identyfikacja ryzyka operacyjnego to krok, którego nie można bagatelizować, zwłaszcza w dzisiejszych czasach. Ciekawe, jak różne firmy wprowadzają nowoczesne technologie, by na bieżąco monitorować zagrożenia! To naprawdę kluczowe dla ich stabilności i dalszego rozwoju.
Zgadzam się, że identyfikacja ryzyk operacyjnych to kluczowy krok. Dobrze mieć systematyczny przegląd, żeby móc szybko reagować na zmiany w otoczeniu. Ciekawe, że kultura organizacyjna odgrywa w tym tak ważną rolę!
Zgadzam się, że identyfikacja ryzyka operacyjnego jest kluczowa! Regularne przeglądy i angażowanie pracowników w tym procesie naprawde mogą zminimalizować wiele zagrożeń. Warto inwestować w tę kulturę w firmie!