7.5.5. Ryzyko operacyjne

Ryzyko operacyjne to możliwość poniesienia straty wynikającej z niewłaściwych lub błędnych procesów wewnętrznych, działań ludzi, funkcjonowania systemów lub ze zdarzeń zewnętrznych.

Celem zarządzania ryzykiem operacyjnym jest optymalizacja jego poziomu i efektywności operacyjnej w działalności Grupy PZU, prowadząca do ograniczenia strat i kosztów spowodowanych materializacją tego ryzyka oraz zapewnienie adekwatnych i efektywnych mechanizmów kontrolnych. Informacje na temat poziomu ryzyka operacyjnego są okresowo przedkładane właściwym organom wewnętrznym.

Identyfikacja ryzyka operacyjnego odbywa się w szczególności poprzez:

• gromadzenie i analizę informacji o incydentach ryzyka operacyjnego oraz przyczynach ich wystąpienia;
• samoocenę ryzyka operacyjnego;
• analizy scenariuszowe.

Ocena i pomiar ryzyka operacyjnego odbywa się poprzez:

• określanie skutków wystąpienia incydentów ryzyka operacyjnego;
• szacowanie skutków wystąpienia potencjalnych incydentów ryzyka operacyjnego.

Monitorowanie i kontrolowanie ryzyka operacyjnego realizowane jest głównie poprzez ustanowiony system wskaźników ryzyka operacyjnego oraz limitów umożliwiających ocenę zmian poziomu ryzyka operacyjnego w czasie oraz czynników mających wpływ na jego poziom w działalności.

Raportowanie polega na komunikacji o poziomie ryzyka operacyjnego, efektach monitorowania i kontrolowania różnym poziomom decyzyjnym. Częstotliwość poszczególnych raportów oraz zakres informacji są dostosowane do potrzeb informacyjnych na poszczególnych poziomach decyzyjnych.

Działania zarządcze w ramach reakcji na zidentyfikowane i ocenione ryzyko operacyjne polegają w szczególności na:

• podjęciu działań mających na celu minimalizację ryzyka, między innymi poprzez wzmocnienie systemu kontroli wewnętrznej;
• transferze ryzyka – w szczególności za pomocą zawarcia umowy ubezpieczenia;
• unikaniu ryzyka poprzez niepodejmowanie lub wycofanie się z określonej działalności biznesowej w przypadku stwierdzenia zbyt wysokiego ryzyka operacyjnego, którego koszty ograniczenia są nieopłacalne;
• akceptacji ryzyka – aprobatę konsekwencji wynikających z ewentualnej materializacji ryzyka operacyjnego, jeśli nie zagraża ono przekroczeniem poziomu tolerancji na ryzyko operacyjne.

PZU posiadał Plany Ciągłości Działania, które nie przewidywały scenariusza epidemii w postaci COVID-19. Po ogłoszeniu 25 lutego 2020 roku sytuacji kryzysowej w PZU, działaniami Sztabu Kryzysowego uzupełniono plany awaryjne m.in.: w zakresie przechodzenia w tryb pracy zdalnej oraz jej wykonywania, poziomów reagowania w przypadku zagrożenia epidemiologicznego w PZU. Jednocześnie wykonano działania w zakresie rozbudowy, rekonfiguracji i zwielokrotnienia pojemności środowiska VPN oraz zmian rozwojowych w systemach informatycznych przy zachowaniu ciągłości działania oraz zabezpieczeniu interesów klientów objętych ochroną ubezpieczeniową.

Procesy sprzedażowe, obsługi umów oraz szkód dostosowano tak, aby zapewnić ciągłość działania i jednocześnie bezpieczną obsługę klientów.

Mimo kryzysowej sytuacji w żadnej ze spółek Grupy PZU nie doszło do istotnych zakłóceń związanych z przerwaniem ciągłości działania i obsługą klientów.