Metodyka RiskCom
Metodyka RiskCom to uporządkowany sposób prowadzenia projektów z zakresu bezpieczeństwa organizacji. Łączy poznanie sposobu jej funkcjonowania, analizę zagrożeń i podatności, projektowanie rozwiązań, przygotowanie ludzi i procedur, praktyczną weryfikację oraz dalszy rozwój gotowości.
Nie rozpoczynamy od gotowego programu szkolenia, uniwersalnego wzoru procedury ani rozwiązania wybranego przed rozpoznaniem problemu. Najpierw poznajemy organizację: jej działalność, strukturę, procesy, obiekty, sposób komunikacji, podział odpowiedzialności i scenariusze, które mogą realnie zakłócić funkcjonowanie ludzi, infrastruktury lub procesów krytycznych.
Dopiero na tej podstawie określamy właściwy zakres działań. Może on obejmować konsultację, audyt bezpieczeństwa, analizę ryzyka i podatności, opracowanie procedur, szkolenia, warsztaty, ćwiczenia scenariuszowe, kontrolowane testy albo kompleksowy program budowania gotowości.
Przygotowane rozwiązania muszą być zrozumiałe, możliwe do zastosowania i dopasowane do rzeczywistych zasobów organizacji.
Celem Metodyki RiskCom nie jest stworzenie kolejnego dokumentu ani przeprowadzenie szkolenia, które kończy się wraz z rozdaniem zaświadczeń. Celem jest zwiększenie zdolności organizacji do rozpoznania zagrożenia, podjęcia decyzji, ochrony ludzi i utrzymania działania w warunkach presji, niepewności oraz ograniczonego czasu.
Bezpieczeństwo nie zaczyna się od wyboru usługi
W wielu organizacjach działania związane z bezpieczeństwem rozpoczynają się od zamówienia szkolenia, przygotowania procedury, przeprowadzenia audytu albo zakupu kolejnego zabezpieczenia.
Każde z tych działań może być potrzebne. Problem pojawia się wtedy, gdy jest realizowane bez wcześniejszego zrozumienia organizacji i określenia, jakie zagrożenia rzeczywiście mogą wpłynąć na jej funkcjonowanie.
Nie można skutecznie przygotować pracowników, jeżeli nie wiadomo, z jakimi sytuacjami mogą się zetknąć.
Nie można stworzyć praktycznych procedur bez poznania obiektu, sposobu komunikacji, podziału odpowiedzialności i możliwości osób, które mają te procedury stosować.
Nie można również ocenić poziomu gotowości wyłącznie na podstawie istniejącej dokumentacji. Trzeba sprawdzić, czy rozwiązania działają w praktyce, a pracownicy i osoby funkcyjne potrafią zastosować je pod presją.
Dlatego w RiskCom nie rozpoczynamy od gotowego rozwiązania. Zaczynamy od zrozumienia organizacji.
Dopiero później rekomendujemy audyt, procedury, szkolenie, ćwiczenie, zmianę organizacyjną albo kompleksowy program budowania i weryfikowania gotowości.
Skuteczne bezpieczeństwo nie zaczyna się od szkolenia, procedury ani zakupu nowych zabezpieczeń. Zaczyna się od zrozumienia organizacji.
Sześć etapów Metodyki RiskCom
Metodyka RiskCom obejmuje sześć wzajemnie powiązanych etapów. Nie są to niezależne usługi ani gotowy pakiet, który w każdej organizacji wygląda tak samo. To spójny sposób rozpoznawania problemów, projektowania rozwiązań, przygotowywania ludzi i rozwijania bezpieczeństwa.
Nie każdy projekt musi obejmować wszystkie etapy w jednakowym zakresie. Wspólna pozostaje jednak logika działania.
Poznajemy organizację, zanim zaproponujemy rozwiązanie
Poznajemy charakter działalności, strukturę organizacyjną, sposób wykorzystania obiektu, przepływ pracowników, klientów, interesantów, gości i dostawców, organizację ochrony, dostępność poszczególnych stref oraz znaczenie procesów krytycznych.
Sprawdzamy, jak obecnie wygląda alarmowanie, komunikacja, podejmowanie decyzji i współpraca pomiędzy osobami odpowiedzialnymi za bezpieczeństwo.
Interesuje nas nie tylko to, jakie rozwiązania zostały formalnie przyjęte, ale również to, jak organizacja działa na co dzień.
Procedura, która nie uwzględnia rzeczywistego układu obiektu, zasobów, kultury organizacyjnej i kompetencji pracowników, może okazać się niemożliwa do zastosowania podczas zdarzenia.
Poznajemy między innymi:
- charakter działalności i specyfikę organizacji,
- strukturę i podział odpowiedzialności,
- sposób użytkowania obiektów i poszczególnych stref,
- przepływ pracowników, klientów, gości i dostawców,
- procesy o szczególnym znaczeniu,
- istniejące zabezpieczenia i procedury,
- organizację ochrony, recepcji i administracji,
- sposób alarmowania i komunikacji,
- doświadczenia z wcześniejszych incydentów,
- zależność od pojedynczych osób, systemów lub dostawców,
- oczekiwania, priorytety i ograniczenia osób decyzyjnych.
Jak organizacja rzeczywiście funkcjonuje i co musi zostać uwzględnione podczas projektowania bezpieczeństwa?
Uporządkowany obraz sytuacji, właściwie określony cel projektu i rozwiązania odnoszące się do realnych warunków.
Identyfikujemy rzeczywiste zagrożenia i podatności
Kolejnym etapem jest określenie zdarzeń, które mogą realnie wpłynąć na bezpieczeństwo ludzi, obiektów, informacji, procesów, reputację i ciągłość działania.
Samo wskazanie zagrożenia nie jest jeszcze analizą. Trzeba ustalić, gdzie może rozpocząć się zdarzenie, kto zauważy je jako pierwszy, jakie działania będą możliwe w pierwszych minutach, jakie zabezpieczenia już funkcjonują oraz które elementy systemu mogą zawieść.
Analizujemy również zagrożenia wewnętrzne związane z działaniami pracowników, współpracowników, podwykonawców i innych osób posiadających dostęp do obiektów, informacji, infrastruktury lub systemów organizacji.
Sprawdzamy podatność obiektu, procesów i istniejących zabezpieczeń. W uzgodnionym zakresie możemy również prowadzić kontrolowane testowanie zabezpieczeń i sposobu reagowania. Celem takich działań nie jest samo wykazanie błędu, lecz sprawdzenie, czy zidentyfikowana podatność może zostać wykorzystana w rzeczywistych warunkach.
Analiza może obejmować:
- agresję i przemoc w miejscu pracy,
- wtargnięcie osoby nieuprawnionej,
- aktywnego napastnika i zagrożenie terrorystyczne,
- napad, kradzież lub próbę wymuszenia,
- podejrzaną przesyłkę, pakunek lub zagrożenie bombowe,
- pożar lub awarię infrastruktury,
- zakłócenie zasilania i łączności,
- ewakuację, lockdown i zabezpieczenie stref,
- sabotaż i działania destabilizacyjne,
- dezinformację i chaos komunikacyjny,
- błędy organizacyjne i proceduralne,
- zagrożenia cybernetyczne w zakresie czynnika ludzkiego, ochrony informacji, komunikacji i procedur reagowania,
- ryzyka charakterystyczne dla danej branży.
Co może się wydarzyć, jakie podatności mogą zostać wykorzystane i jakie mogą być tego konsekwencje?
Uporządkowany obraz zagrożeń i podatności, określone priorytety oraz wiedza, które obszary wymagają działania.
Dobieramy rozwiązania do rozpoznanych potrzeb
W jednej organizacji priorytetem może być uporządkowanie alarmowania i komunikacji. W innej konieczne będzie przygotowanie procedur reagowania, doprecyzowanie odpowiedzialności, zmiana sposobu kontroli dostępu, przygotowanie ochrony i recepcji albo opracowanie programu szkoleń i ćwiczeń.
Nie stosujemy jednego pakietu odpowiedniego dla wszystkich klientów.
Zakres projektu musi być proporcjonalny do ryzyka, możliwości organizacji i oczekiwanego rezultatu. Nie rekomendujemy rozwiązań, których organizacja nie będzie w stanie wdrożyć, utrzymać lub zastosować pod presją.
Każde rozwiązanie powinno odpowiadać na konkretny problem, być możliwe do zastosowania i zrozumiałe dla osób, które będą z niego korzystać.
Projektowane rozwiązania mogą obejmować:
- plan działań i priorytety wdrożeniowe,
- procedury bezpieczeństwa i instrukcje reagowania,
- plany ewakuacji i lockdownu,
- karty działań dla osób funkcyjnych,
- schematy alarmowania,
- zasady komunikacji kryzysowej,
- podział ról i odpowiedzialności,
- zastępstwa dla funkcji krytycznych,
- rekomendacje organizacyjne, fizyczne i techniczne,
- program przygotowania pracowników,
- warsztaty dla kadry kierowniczej,
- scenariusze ćwiczeń i testów,
- harmonogram wdrożenia i sposób późniejszej weryfikacji,
- plan dalszego rozwoju gotowości.
Jak ograniczyć ryzyko i przygotować organizację do właściwego działania?
Czytelny projekt bezpieczeństwa wskazujący priorytety, odpowiedzialność, zakres działań i oczekiwany rezultat.
Przekładamy rozwiązania na ludzi, procedury i konkretne działania
Procedury muszą być zrozumiałe. Osoby funkcyjne muszą znać zakres swojej odpowiedzialności. Pracownicy powinni wiedzieć, jak rozpoznać zagrożenie, kogo powiadomić i jak zachować się w pierwszych minutach zdarzenia.
Na tym etapie przekładamy projekt na rozwiązania operacyjne oraz przygotowujemy ludzi odpowiedzialnych za ich zastosowanie.
Zakres przygotowania zależy od roli uczestników. Innych kompetencji potrzebuje pracownik, innych recepcjonista, pracownik ochrony, administrator, dyrektor, kierownik jednostki lub członek zespołu kryzysowego.
Wszyscy powinni jednak rozumieć podstawowe zasady: jak rozpoznać sytuację, gdzie szukać wiarygodnych informacji, kogo powiadomić oraz jakie działania mogą podjąć bez oczekiwania na szczegółowe polecenia.
Celem nie jest przekazanie jak największej liczby informacji. Celem jest zbudowanie kompetencji potrzebnych do działania w konkretnym środowisku pracy.
Przygotowanie może obejmować:
- opracowanie i wdrożenie procedur, instrukcji oraz kart działań,
- uporządkowanie zasad alarmowania, komunikatów i zastępstw,
- przygotowanie ochrony, recepcji i administracji,
- szkolenia stacjonarne dla pracowników,
- warsztaty dla osób funkcyjnych,
- treningi decyzyjne dla kierownictwa,
- szkolenia antyterrorystyczne, antynapadowe i z deeskalacji agresji,
- szkolenia kryzysowe,
- przygotowanie z zakresu ochrony ludności i obrony cywilnej,
- szkolenia z cyberbezpieczeństwa w zakresie zachowań pracowników,
- ćwiczenia stanowiskowe,
- materiały wspierające utrzymanie wiedzy i szkolenia e-learningowe,
- przygotowanie wybranych osób do udzielania pierwszej pomocy.
Czy ludzie rozumieją swoje role i wiedzą, jak powinni działać?
Przygotowani pracownicy i osoby funkcyjne, czytelniejsze zasady postępowania i mniejsze ryzyko nieskoordynowanych reakcji.
Sprawdzamy system w praktyce
Przyjęte rozwiązania trzeba sprawdzić w praktyce. Dopiero podczas ćwiczeń i kontrolowanych testów można ocenić, czy komunikaty są zrozumiałe, osoby funkcyjne znają swoje role, a procedury odpowiadają rzeczywistemu układowi obiektu i możliwościom organizacji.
Zakres weryfikacji dobieramy do celu projektu, poziomu ryzyka i przygotowania uczestników. Nie każde ćwiczenie musi być rozbudowaną symulacją z udziałem wielu służb.
Ćwiczenie może ujawnić problemy, których nie widać podczas pracy nad dokumentami: sprzeczne polecenia, niejasne komunikaty, brak dostępu do informacji, uzależnienie od jednej osoby, niewłaściwy punkt zbiórki, nieznajomość procedur lub brak koordynacji pomiędzy ochroną, administracją i kierownictwem.
Celem nie jest stworzenie widowiska ani wywołanie możliwie silnego stresu. Celem jest uzyskanie wiarygodnych obserwacji i odpowiedź na pytanie, czy organizacja rzeczywiście potrafi zastosować przyjęte rozwiązania.
Weryfikacja może obejmować:
- test alarmowania i komunikacji,
- warsztat decyzyjny,
- ćwiczenie typu tabletop,
- ćwiczenie ewakuacyjne lub próbę lockdownu,
- ćwiczenia dla osób funkcyjnych,
- scenariusz dla ochrony, recepcji lub administracji,
- kontrolowaną symulację praktyczną,
- ćwiczenie obejmujące kilka równoległych zdarzeń,
- sprawdzenie komunikacji zapasowej,
- test zastępstw osób decyzyjnych,
- kontrolowane testowanie wybranych zabezpieczeń,
- ocenę sposobu reagowania na rozpoznane podatności.
Czy organizacja potrafi działać pod presją i czy przyjęte rozwiązania są skuteczne w praktyce?
Praktyczna ocena gotowości, informacja o mocnych stronach, wykrytych lukach i rekomendacje potrzebne do poprawy systemu.
Wdrażamy wnioski i utrzymujemy gotowość
Po audycie, szkoleniu, ćwiczeniu lub rzeczywistym incydencie analizujemy obserwacje, wskazujemy luki i porządkujemy działania według ich znaczenia oraz pilności.
Organizacja otrzymuje rekomendacje, które pomagają przejść od rozpoznanego problemu do konkretnej zmiany.
W projektach kompleksowych rekomendacje mogą zostać uzupełnione o priorytet, wskazanie odpowiedzialności, harmonogram wdrożenia i termin ponownej weryfikacji.
Gotowość zmienia się wraz ze strukturą organizacji, personelem, obiektami, procesami, technologiami i środowiskiem zagrożeń. Dlatego przyjęte rozwiązania wymagają okresowego przeglądu.
Rozwój może obejmować:
- wdrażanie rekomendacji i aktualizację procedur,
- zmianę sposobu alarmowania i doprecyzowanie odpowiedzialności,
- wyznaczenie zastępstw i modyfikację punktów zbiórki,
- dodatkowe przygotowanie wybranych grup,
- zmiany organizacyjne w recepcji lub ochronie,
- poprawę oznakowania i rozmieszczenie wyposażenia ratunkowego,
- przygotowanie nowych pracowników,
- szkolenia przypominające,
- kolejne ćwiczenia i testy,
- ponowną analizę wybranych obszarów,
- okresową weryfikację gotowości,
- rozwój kultury bezpieczeństwa.
Jak utrzymać i rozwijać gotowość organizacji w kolejnych latach?
Plan dalszych działań oraz system bezpieczeństwa, który może rozwijać się wraz z organizacją.
Metodyka RiskCom w praktyce
Metodyka nie jest wyłącznie deklaracją sposobu działania. Każdy etap powinien prowadzić do konkretnego rezultatu, decyzji, dokumentu lub zmiany organizacyjnej.
Co należy zrobić i dlaczego jest to potrzebne?
Kto powinien odpowiadać za zmianę i jak sprawdzić, czy rozwiązanie działa?
Dlaczego Metodyka RiskCom działa?
Nie zaczynamy od gotowych rozwiązań
Uwzględniamy działalność, strukturę, obiekty, procesy, zasoby, odpowiedzialność i rzeczywiste zagrożenia. To zakres projektu ma odpowiadać potrzebom organizacji.
Łączymy ludzi, procedury i organizację
Dokumentacja, szkolenia, komunikacja, zabezpieczenia i odpowiedzialność tworzą jeden system, który ma działać także pod presją.
Weryfikujemy rozwiązania w praktyce
Sprawdzamy komunikaty, role, sposób podejmowania decyzji i zachowanie ludzi podczas warsztatów, ćwiczeń oraz kontrolowanych scenariuszy.
Myślimy długofalowo
Celem nie jest jednorazowe wykonanie usługi, lecz zwiększenie zdolności organizacji do działania również po zakończeniu projektu.
Jedna Metodyka. Różny zakres projektów.
Metodyka RiskCom może być stosowana zarówno podczas pojedynczych usług, jak i projektów kompleksowych. Nie każdy projekt obejmuje wszystkie etapy w jednakowym zakresie, ale logika pozostaje niezmienna.
Audyt
Większy nacisk kładziemy na poznanie organizacji, analizę zagrożeń i podatności oraz przygotowanie rekomendacji.
Procedury
Koncentrujemy się na rolach, komunikatach, wariantach działania i dopasowaniu dokumentacji do obiektu.
Szkolenie
Przygotowujemy ludzi do rozpoznawania zagrożeń, komunikowania się i działania zgodnie z przyjętymi zasadami.
Ćwiczenie
Praktycznie weryfikujemy procedury, odpowiedzialność, alarmowanie, komunikację i podejmowanie decyzji.
Zrozum organizację. Zidentyfikuj zagrożenia. Zaprojektuj rozwiązania. Przygotuj ludzi i procedury. Sprawdź je w praktyce. Rozwijaj gotowość.
Usługi są narzędziami. Metodyka określa, kiedy i dlaczego ich używamy.
RiskCom nie rozpoczyna projektu od przypisania organizacji gotowego zestawu usług. Zakres działań wynika z rozpoznanych potrzeb, zidentyfikowanych zagrożeń i podatności, istniejących zabezpieczeń oraz poziomu przygotowania pracowników.
W jednym projekcie właściwym punktem rozpoczęcia może być audyt bezpieczeństwa. W innym aktualizacja procedur, szkolenie wybranej grupy pracowników, warsztat dla kadry kierowniczej albo ćwiczenie sprawdzające istniejący system.
Audyty i analiza ryzyka
Pozwalają zidentyfikować zagrożenia, podatności oraz obszary wymagające dalszych działań.
Poznaj audyty i zarządzanie ryzykiem →Procedury bezpieczeństwa
Porządkują alarmowanie, komunikację, role, odpowiedzialność i sposób reagowania.
Poznaj procedury bezpieczeństwa →Szkolenia z bezpieczeństwa
Przygotowują pracowników, osoby funkcyjne i kadrę kierowniczą do działania w sytuacjach zagrożenia.
Zobacz szkolenia z bezpieczeństwa →Ćwiczenia i symulacje
Pozwalają sprawdzić procedury, komunikację, decyzje i współpracę organizacji w praktyce.
Poznaj ćwiczenia i szkolenia kryzysowe →Doradztwo i rozwój systemu
Pomagają wdrażać rekomendacje, aktualizować rozwiązania i rozwijać gotowość organizacji.
Porozmawiaj z ekspertem RiskCom →Metodyka RiskCom a RiskCom Ready®
Metodyka RiskCom określa sposób, w jaki prowadzimy projekty. Jest stosowana podczas audytów, analiz ryzyka, opracowywania procedur, szkoleń, ćwiczeń oraz projektów doradczych.
RiskCom Ready® jest kompleksowym programem budowania i weryfikowania gotowości organizacji, realizowanym w oparciu o Metodykę RiskCom.
Program może połączyć w jeden proces poznanie organizacji, analizę zagrożeń i podatności, audyt bezpieczeństwa, uporządkowanie odpowiedzialności, projektowanie procedur, przygotowanie pracowników, szkolenia, ćwiczenia scenariuszowe, praktyczną weryfikację i rekomendacje dalszego rozwoju.
Metodyka mówi więc, jak pracujemy. RiskCom Ready® pokazuje, jak może wyglądać kompleksowy program budowania i sprawdzania gotowości organizacji.
Metodyka dopasowana do branży
Droga do gotowości nie wygląda identycznie w każdej organizacji. Innych rozwiązań potrzebuje urząd, szkoła, zakład produkcyjny, centrum logistyczne, placówka medyczna, bank, biurowiec czy obiekt infrastruktury krytycznej.
Metodyka uwzględnia charakter działalności, strukturę, liczbę pracowników i użytkowników obiektu, procesy krytyczne, rolę ochrony i recepcji, obowiązki osób funkcyjnych, lokalne zagrożenia oraz poziom dojrzałości systemu bezpieczeństwa.
Nie zmienia się logika Metodyki. Zmienia się zakres i sposób jej zastosowania.
Zobacz branże, które wspieramyCentrum Wiedzy RiskCom
Artykuły, analizy i poradniki publikowane w Centrum Wiedzy rozwijają zagadnienia związane z poszczególnymi etapami Metodyki.
Treści dotyczą audytów, zagrożeń i podatności, procedur, komunikacji, planowania, szkoleń, zachowania pracowników, ćwiczeń, symulacji, kultury bezpieczeństwa oraz odporności organizacyjnej.
Dzięki temu Centrum Wiedzy nie jest zbiorem przypadkowych publikacji. Stanowi merytoryczne rozwinięcie Metodyki i pomaga organizacjom lepiej rozumieć bezpieczeństwo przed podjęciem konkretnych działań.
Przejdź do Centrum Wiedzy RiskComCo zyskuje organizacja?
Nie kolejną usługę. Spójny sposób budowania bezpieczeństwa.
Zastosowanie Metodyki RiskCom pomaga uporządkować obszary, które w wielu organizacjach funkcjonują oddzielnie.
Decyzje wynikają z analizy rzeczywistych zagrożeń i podatności.
Role, zastępstwa i zasady podejmowania decyzji zostają uporządkowane.
Dokumentacja odpowiada rzeczywistemu środowisku pracy i możliwościom organizacji.
Kadra i osoby odpowiedzialne wiedzą, jak uruchomić właściwe działania.
Pracownicy lepiej rozumieją zagrożenia, komunikaty i zasady reagowania.
Alarmowanie i przepływ informacji są bardziej czytelne i odporne na zakłócenia.
Kluczowe działania nie zależą wyłącznie od jednej osoby lub jednego systemu.
Ćwiczenia pozwalają ujawnić problemy niewidoczne podczas analizy dokumentacji.
Organizacja otrzymuje priorytety, rekomendacje i kierunek dalszego działania.
Metodyka nie eliminuje ryzyka i nie daje gwarancji bezpieczeństwa. Pomaga jednak ograniczać podatności, poprawiać jakość decyzji oraz zwiększać zdolność organizacji do działania w pierwszych minutach i kolejnych fazach zdarzenia.
Zaczynamy od zrozumienia organizacji
Audyt, procedura lub szkolenie mogą rozwiązać konkretny problem. Jeżeli jednak organizacja chce uporządkować zagrożenia, odpowiedzialność, przygotowanie ludzi i sposób reagowania, projekt powinien zostać zaplanowany jako spójny proces.
Nie musisz wiedzieć, czy właściwym pierwszym krokiem jest audyt, procedura, szkolenie czy ćwiczenie.
Opisz sposób działania organizacji, najważniejsze obawy, dotychczasowe doświadczenia albo obszar wymagający uporządkowania. Podczas wstępnej konsultacji pomożemy określić właściwy zakres projektu i działania, które mogą przynieść organizacji realną wartość.
