Řízení rizik

Po analýze rizik je dalším krokem reakce na riziko a následné přijetí opatření. Důležité je, že jakmile jsou rizika odstupňována, zaměstnanci "musí přemýšlet o vhodných opatřeních k řešení jednotlivých hrozeb a příležitostí" (Hillson, 2012 str. 126). V případě rizika mají zaměstnanci k dispozici řadu možností. Ty byly shrnuty v tabulce 2, protože řada teoretiků nabízí při popisu dostupných možností odlišnou terminologii.

Pokud je vhodným opatřením při reakci na riziko kontrola nebo eliminace rizika, je k dispozici také řada možností. Ty jsou popsány jako "typy" kontrol v Oranžové knize (Orange Book) ministerstva financí (2004). Níže je uveden stručný přehled čtyř kontrolních mechanismů, které uvádí ministerstvo financí (2004, str. 28-29) a které lze použít ke kontrole nebo eliminaci rizika:

Preventivní kontroly – Cílem těchto kontrol je omezit možnost realizace nežádoucího výsledku... Většina kontrol zavedených v organizacích patří do této kategorie. Mezi příklady preventivních kontrol patří oddělení povinností, kdy žádná osoba není oprávněna jednat bez souhlasu jiné osoby.

Nápravné kontroly – tyto kontroly jsou určeny k nápravě nežádoucích výsledků, které byly realizovány. Poskytují možnost, jak dosáhnout určitého odškodnění za ztrátu nebo škodu. Příkladem může být pojištění, které může usnadnit finanční vymáhání proti realizaci rizika.

Direktivní kontroly – tyto kontroly mají zajistit dosažení určitého výsledku. Jsou důležité zejména v případech, kdy je nutné zabránit nežádoucí události – typicky v souvislosti s bezpečností a ochranou zdraví nebo s bezpečností. Příkladem tohoto typu kontroly může být požadavek na nošení ochranného oděvu při plnění nebezpečných úkolů.

Detektivní kontroly – tyto kontroly jsou určeny k identifikaci případů, kdy byly realizovány nežádoucí výsledky. Jejich účinek je z definice "po události", takže jsou vhodné pouze tehdy, když je možné vzniklou ztrátu nebo škodu akceptovat. Příkladem detektivní kontroly jsou zásoby nebo majetek.“

Kontroly mohou zmírnit riziko tím, že eliminují některá zranitelná místa systému, sníží kapacitu a motivaci rizika nebo sníží velikost potenciálního nebo skutečného nepříznivého dopadu. Organizace pak mohou analyzovat, do jaké míry bylo riziko sníženo prostřednictvím kontrol, a to přehodnocením pravděpodobnosti a důsledků; nové hodnocení rizika se nazývá "zbytkové riziko" (NIST, 2002).