7.5.5. Ryzyko operacyjne

Ryzyko operacyjne to możliwość poniesienia straty wynikającej z niewłaściwych lub błędnych procesów wewnętrznych, działań ludzi, funkcjonowania systemów lub ze zdarzeń zewnętrznych.

Celem zarządzania ryzykiem operacyjnym jest optymalizacja jego poziomu i efektywności operacyjnej w działalności Grupy PZU, prowadząca do ograniczenia strat i kosztów spowodowanych materializacją tego ryzyka oraz zapewnienie adekwatnych i efektywnych mechanizmów kontrolnych. Informacje na temat poziomu ryzyka operacyjnego są okresowo przedkładane właściwym organom wewnętrznym.

Identyfikacja ryzyka operacyjnego odbywa się w szczególności poprzez:

• gromadzenie i analizę informacji o incydentach ryzyka operacyjnego oraz przyczynach ich wystąpienia;
• samoocenę ryzyka operacyjnego;
• analizy scenariuszowe.

Ocena i pomiar ryzyka operacyjnego odbywa się poprzez:

• określanie skutków wystąpienia incydentów ryzyka operacyjnego;
• szacowanie skutków wystąpienia potencjalnych incydentów ryzyka operacyjnego.

Monitorowanie i kontrolowanie ryzyka operacyjnego realizowane jest głównie poprzez ustanowiony system wskaźników ryzyka operacyjnego oraz limitów umożliwiających ocenę zmian poziomu ryzyka operacyjnego w czasie oraz czynników mających wpływ na jego poziom w działalności.

Raportowanie polega na komunikacji o poziomie ryzyka operacyjnego, efektach monitorowania i kontrolowania różnym poziomom decyzyjnym. Częstotliwość poszczególnych raportów oraz zakres informacji są dostosowane do potrzeb informacyjnych na poszczególnych poziomach decyzyjnych.

Działania zarządcze w ramach reakcji na zidentyfikowane i ocenione ryzyko operacyjne polegają w szczególności na:

• podjęciu działań mających na celu minimalizację ryzyka, między innymi poprzez wzmocnienie systemu kontroli wewnętrznej;
• transferze ryzyka – w szczególności za pomocą zawarcia umowy ubezpieczenia;
• unikaniu ryzyka poprzez niepodejmowanie lub wycofanie się z określonej działalności biznesowej w przypadku stwierdzenia zbyt wysokiego ryzyka operacyjnego, którego koszty ograniczenia są nieopłacalne;
• akceptacji ryzyka – aprobatę konsekwencji wynikających z ewentualnej materializacji ryzyka operacyjnego, jeśli nie zagraża ono przekroczeniem poziomu tolerancji na ryzyko operacyjne.

PZU wdrożył plany ciągłości działania. Przetestowano działania zabezpieczające poprawne funkcjonowanie procesów objętych Planem w przypadku wystąpienia awarii.

Działania Grupy PZU w reakcji na zagrożenie pandemią COVID-19 koordynuje Sztab Kryzysowy składający się z przedstawicieli Zarządów PZU i PZU Życie, działający od 25 lutego 2020 roku. Jego głównym celem jest zapewnienie ciągłości działalności biznesowej przy zachowaniu najwyższych środków bezpieczeństwa, obowiązujących ograniczeń i restrykcji. Część decyzji Sztabu Kryzysowego przekazywana jest w formie rekomendacji jednostkom zależnym Grupy PZU. W rezultacie, mimo trudnej sytuacji, w żadnej ze spółek nie doszło do zakłóceń związanych z przerwaniem ciągłości działania i obsługą klientów.

Sztab Kryzysowy posiada kompetencje w dwóch kluczowych aspektach: organizacyjno-prawnym oraz technicznym. W ramach pierwszego z nich wprowadzono m.in. procedury pozwalające na pracę zdalną, dokonano także niezbędnych zmian w procedurach ciągłości działania. Równolegle powstały nowe regulacje pozwalające na zarządzenia ryzykiem infekcji. Procesy sprzedażowe, obsługi umów oraz szkód dostosowano tak, aby zapewnić ciągłość działania i jednocześnie bezpieczną obsługę klientów. Działania w aspekcie technicznym związane były z rozbudową urządzeń IT zwiększających limit połączeń VPN oraz zakupem narzędzi do pracy zdalnej, a także z koniecznością zapewnienia środków odkażających i ochronnych.

W roku 2021 Sztab Kryzysowy kontynuował przyjętą strategię działań, dostosowując ją do aktualnej sytuacji pandemicznej, przekazując jednocześnie część procesów do realizacji w działalności bieżącej.