Michelberger Pál (szerk.)

Bizonytalanság és biztonság

Fejezetek a mérnöki kockázatmenedzsmentből

2.4. Kockázatértékelés

A kockázatértékelés (risk evaluation) az a lépés, amikor a kockázatelemzés eredményeit összevetjük a szervezet által elfogadhatónak tartott kockázati szinttel, és döntéseket hozunk arról, mely kockázatok igényelnek kezelést. Egyszerűbben fogalmazva: a kockázatelemzés megmutatta, milyen nagy egy-egy kockázat; a kockázatértékelés pedig arról szól, hogy ez a nagyság rendben van-e a szervezet számára. Ehhez a szervezetnek rendelkeznie kell kockázati kritériumokkal vagy más néven kockázati étvággyal (risk appetite) és toleranciaszintekkel. Ezek a kritériumok lehetnek formálisak (például számokban rögzített határértékek: „egy munkahelyi baleset sem elfogadható évente”, vagy „legfeljebb 5% valószínűségű, 10 millió Ft kárt okozó esemény tolerálható”), vagy lehetnek általános irányelvek (például „a magas kockázati szintű fenyegetéseket mindenképp csökkenteni kell, a közepesek mérlegelendők, az alacsonyakat elfogadjuk”). A kockázatértékelés során a döntéshozók – gyakran a vezetőség vagy egy kockázatkezelési bizottság – áttekintik a kockázati rangsort, amit az előző lépésben kaptak, és meghatározzák, hogy az egyes kockázatok esetén szükség van-e beavatkozásra.

Ennél a lépésnél készül el tulajdonképpen a kockázati térkép vagy profil végleges verziója, amely megjelöli a kritikus kockázatokat. Azokat a kockázatokat, amelyek a kockázati kritériumok alapján elfogadhatatlanul magasak, a szervezet kezelendőnek nyilvánítja – vagyis ezekkel muszáj foglalkozni, mert különben a szervezet céljai kerülhetnek veszélybe. Azokat a kockázatokat, amelyek tolerálhatóak (elfogadhatók) – tipikusan mert nagyon alacsony a valószínűségük, vagy csekély a hatásuk, illetve a kezelésük költsége aránytalanul nagy lenne a nyereséghez képest –, formálisan elfogadhatja a szervezet, külön beavatkozás nélkül (azért általában figyelemmel kísérve). Fontos azonban, hogy az elfogadás is tudatos döntés legyen, dokumentálva, hogy a vezetőség tisztában van a kockázattal, de vállalja azt a meghatározott határok között (Kuzminykh–Ghita–Sokolov–Bakhshi, 2021).

A kockázatértékelés gyakorlati eredménye egy prioritási lista vagy kategorizálás: például megjelölhetik a kockázatokat „sürgősen kezelendő”, „kezelendő, de nem sürgős” és „elfogadható” csoportokkal. Ezzel a szervezet fókuszt nyer: tudni fogja, mely területeken kell erőforrásokat mozgósítani a kockázatok csökkentésére, és melyek azok a kockázatok, amelyeket csak monitorozni kell. A döntésnél figyelembe kell venni a jogszabályi megfelelést is: bizonyos kockázatokat a törvény sem enged meg egy bizonyos szint felett (például munkavédelmi előírások, környezetvédelmi kibocsátási határértékek stb.), így az értékelésnél ezek a külső követelmények kockázati kritériumként szerepelnek. Ugyanígy számít a társadalmi elvárás és a vállalati értékrend: például egy kórház erkölcsileg sem engedheti meg, hogy „elfogadja” a magas fertőzéskockázatot, hiszen emberéletekről van szó.

Miután a kockázatértékelés lezárult, a szervezetnek egy világos képe van arról, mely kockázatokkal mit kell tennie. A következő lépés ezeknek a kockázatkezelési intézkedéseknek a megtervezése és végrehajtása lesz. Mielőtt azonban tovább lépnénk, fontos kiemelni, hogy a kockázatértékelés fázisa ad alkalmat a kommunikációra és konzultációra: a döntéseket érdemes megvitatni az érintettekkel (például a részlegvezetőkkel, akik területén a kockázat jelentkezik), és transzparensen dokumentálni. Így mindenki tudja, hogy egy adott kockázat miért került a „kezelendő” vagy „elfogadott” kategóriába.

Példák különböző iparágakból a kockázatértékelésre:

Építőipar: Az alapozási instabilitás kockázata a példaépítkezésen az elemzés szerint közepes valószínűségű és súlyos hatású. A projektvezetés a kockázatértékelési megbeszélésen úgy dönt, hogy ez a kockázat nem fogadható el kezelés nélkül, mivel ha bekövetkezne, az építkezés összeomlását vagy legalábbis jelentős késedelmet és többletköltséget okozna. A vállalat kockázati étvágya nem engedi meg, hogy ilyen súlyos szerkezeti kockázatot csak úgy vállaljanak, ezért ezt a kockázatot a „magas, kezelendő” kategóriába sorolják. Ugyanakkor lehetnek más azonosított kockázatok is a projektben, például az időjárás miatti kisebb csúszások, amelyeket elfogadhatónak minősítenek, mondván: egy kis késés benne van a projektben, ezt tartalék idővel le tudják kezelni. Így a kockázatértékelés eredményeként a csapat priorizál: az alapozási probléma elsődleges figyelmet kap, míg a kisebb kockázatok csak nyomon követésre kerülnek.
Informatika: Az informatikai vállalat vezetése áttekinti a kibertámadás kockázatának elemzését, ami magas szintű fenyegetést mutatott. A vállalat biztonsági politikája kimondja, hogy az ügyféladatok kompromittálódásának kockázatát minimálisra kell csökkenteni, tehát semmiképp sem maradhat kezeletlenül. Ennek alapján az értékelésen kritikus kockázatnak nyilvánítják ezt a fenyegetést, ami azonnali kezelési akciótervet igényel. Ezzel szemben mondjuk egy másik azonosított kockázat, a szoftverfejlesztés során a határidő csúszásának kockázata a cég tapasztalatai szerint gyakori, de bele van kalkulálva a projekttervekbe. Így azt elfogadhatóként könyvelik el (alacsony-közepes kockázat, ami nem fenyeget létfontosságú érdeket), és egyszerűen monitorozzák a továbbiakban.
Beléptetőrendszerek: A beléptetőrendszer illetéktelen behatolási kockázatát a vállalat biztonsági bizottsága úgy értékeli, hogy a jelenlegi helyzet túl kockázatos a cég biztonsági elvárásaihoz képest. A kritériumuk az, hogy évente legfeljebb 1 kisebb biztonsági incidens történhet, de a számítások szerint a jelenlegi rendszer mellett akár 5 is előfordulhat (elveszett kártyákból 5 visszaélés). Ezt a különbséget nem tartják elfogadhatónak. Ráadásul az is szempont, hogy ha bekövetkezne egy komolyabb adatlopás egy ilyen illetéktelen behatolás miatt, annak jogi következményei is lehetnének (adatvédelmi bírság). Így a bizottság úgy dönt, hogy ezt a kockázatot csökkenteni kell, és magas prioritásúnak sorolja be. Egy kisebb kockázatot ugyanakkor elfogadnak: például azt, hogy néha egy alkalmazott otthon felejti a belépőkártyáját és emiatt az ő munkakezdése késik pár percet – ez biztonsági szempontból nem jelent kárt, így az értékelés szerint ez tolerálható, nem igényel beavatkozást.

Tartalomjegyzék

Kiadó: Akadémiai Kiadó

Online megjelenés éve: 2026

ISBN: 978 963 664 195 5

Műszaki tudományok

A Bizonytalanság és biztonság című tanulmánykötet 6 mérnökvégzettségű, Óbudai Egyetem Bánki Donát Gépész és Biztonságtechnikai Mérnöki Karán dolgozó oktató közös munkája. Karunk gépész-, mechatronikai- és biztonságtechnikai képzésre járó hallgatói képzésük során megismerkednek a kockázatmenedzsment alapjaival, módszertani hátterével, és elsajátítják a kockázatértékeléshez és -kezeléshez szükséges elméleti hátteret. A könyv nem egyetemi tankönyvnek készült, de ott is használható. Fontos célunk volt a 8 tanulmányt tartalmazó kötet közreadásával, hogy a különböző szakterületek képviselői lássák a műszaki beruházási és fejlesztési projektek, az információbiztonság, a minőségbiztosítás, a karbantartás, a munka- és tűzvédelem kockázatmenedzsmentjének néha eltérő, de integrálható sajátosságait.

A gazdálkodó szervezetek életében szükség van egységesen alkalmazott kockázatmenedzsment szabályokra, hiszen a kockázati eseménynek több, eltérő eredetű kiváltó oka és több következménye is lehet. Eltérő skálákon történő értékelésük zavart okozhat kockázatok felismerésében és kezelésében is. A mérnöki kockázatok mellett a szervezeteknél többek között megjelennek stratégiai, piaci és pénzügyi vagy akár biztosítási kockázatok is. A könyv terjedelme nem teszi lehetővé, hogy ezekkel is foglalkozzunk, de fontos felhívni a figyelmet, hogy a kockázatmenedzsment nemcsak a mérnöki feladat…

Hivatkozás: https://mersz.hu/michelberger-bizonytalansag-es-biztonsag//

BibTeX EndNote Mendeley Zotero