Am cunoscut acum câțiva ani un om care administra un depozit de materiale de construcții pe centura Bucureștiului, undeva între Chiajna și Dragomirești. Investise serios. Gard nou, poartă automată, camere care acopereau fiecare colț al curții. Când l-am întrebat, mai mult din curiozitate, ce face dacă sună alarma la trei dimineața, s-a uitat la mine ca la un om care pune întrebări inutile. „Păi vin eu”, a zis. Locuia la patruzeci de minute distanță. Noaptea, cu drumul liber, poate treizeci.
Aici e, de fapt, toată povestea gestionării riscurilor, condensată într-o singură conversație. Investim aproape instinctiv în partea care se vede, se măsoară și se poate arăta cuiva. Și lăsăm pe dinafară partea care se activează. Camera de supraveghere filmează impecabil un furt pe care nimeni nu îl oprește.
Nu vorbesc doar despre securitate fizică. Am văzut același reflex la o firmă de contabilitate care ținea backup pe un hard extern lăsat lângă serverul pe care îl salva, la un restaurant care avea extinctoare expirate din 2017, la un antreprenor care a semnat un contract de un milion fără să verifice dacă partenerul are datorii la stat. Riscul nu e o categorie de business. E un mod de a te uita la lucruri.
Riscul nu e o listă pe hârtie, e un fel de a privi realitatea
Primul lucru care mi se pare esențial, și pe care îl vezi rar spus pe șleau, e că gestionarea riscurilor nu începe cu un document. Începe cu o schimbare de atitudine. Cine crede că un registru de riscuri completat de un consultant rezolvă problema o să aibă un registru frumos și o problemă intactă.
Ce înseamnă, practic, un risc
Definiția tehnică sună sec. Un risc e un eveniment incert care, dacă se produce, are un efect asupra obiectivelor tale. Traducerea de zi cu zi e mai simplă. Un risc e ceva ce încă nu s-a întâmplat, dar te-ar durea dacă s-ar întâmpla.
Ce omit majoritatea definițiilor e că riscurile nu sunt niciodată singure. Vin în lanț. Un scurtcircuit la tabloul electric nu e doar un scurtcircuit. E o defecțiune care poate porni un incendiu, care poate distruge stocul, care poate opri livrările, care poate rupe contractul cu clientul principal, care poate lăsa opt oameni fără salariu luna următoare. Am văzut fix scenariul ăsta la o mică fabrică de mobilă din Ilfov. Paguba de la incendiu a fost, în cifre, mai mică decât paguba din contractele pierdute.
De ce oamenii evaluează riscurile atât de prost
Suntem construiți să reacționăm la ce e vizibil și recent. Un patron căruia i-au spart mașina din parcare o să pună gard și barieră în două săptămâni. Același om ignoră ani de zile faptul că singura persoană care știe parolele de la conturi e un angajat care se ceartă cu el la fiecare ședință.
Psihologii numesc asta euristica disponibilității. Eu îi zic, mai simplu, memoria scurtă. Evaluăm probabilitatea unui eveniment după cât de ușor ne vine în minte un exemplu. Riscurile despre care nu am auzit povești primesc, automat, o notă mai mică decât merită.
Al doilea derapaj e optimismul de proprietar. Aproape toți oamenii care conduc ceva cred că lor li se întâmplă mai rar decât altora. E o convingere plăcută și complet nefundamentată statistic.
Prima practică bună este să numești lucrurile pe nume
Nu poți gestiona ceva ce refuzi să scrii pe hârtie. Sună banal, dar e etapa la care cad cele mai multe organizații, de la firme de trei oameni până la companii cu sute de angajați.
Inventarul care doare puțin
Un inventar bun de riscuri se face cu oameni din toate colțurile organizației, nu doar cu managementul. Cel care știe unde e ușa care nu se închide bine e paznicul de la schimbul de noapte, nu directorul general. Cel care știe că un furnizor livrează cronic cu întârziere e omul de la depozit.
Îmi place să pun întrebarea în forma cea mai directă cu putință. Ce te-ar speria să se întâmple într-o duminică la ora patru dimineața, când nu răspunde nimeni la telefon? Răspunsurile la întrebarea asta valorează mai mult decât zece pagini de metodologie.
Un inventar util acoperă mai multe straturi. Riscuri fizice, cum ar fi efracția, incendiul, inundația, avaria la instalații. Riscuri operaționale, adică dependența de un singur furnizor, de un singur utilaj, de un singur om. Riscuri financiare, de la fluctuația cursului până la clienți care plătesc la nouăzeci de zile în loc de treizeci. Riscuri legate de date și de sisteme. Și riscuri de reputație, care sunt cel mai des ignorate și cel mai greu de reparat.
Cine vede riscul primul
O practică pe care o recomand oricui are angajați e să existe un canal simplu, fără birocrație, prin care oricine poate semnala ceva ce i se pare în neregulă. Fără formular în trei exemplare. Fără teamă că raportarea se întoarce împotriva ta.
Culturile în care oamenii tac pentru că se tem sunt culturile în care problemele cresc în liniște. Am lucrat cu o firmă unde un electrician observase de luni de zile miros de ars într-o încăpere tehnică. Nu a zis nimic pentru că, în trecut, cine ridica probleme era tratat ca și cum el le-ar fi creat.
Cât de probabil este și cât de mult ar costa
După ce ai lista, urmează partea în care separi ce e urgent de ce e doar neplăcut. Aici intervine evaluarea, și tot aici apar cele mai multe iluzii de precizie.
Matricea de risc și capcanele ei
Instrumentul clasic e o matrice simplă, cu probabilitatea pe o axă și impactul pe cealaltă. Ce iese roșu se rezolvă imediat, ce iese galben intră în plan, ce iese verde se monitorizează.
Funcționează, cu două condiții. Prima, să nu confunzi cifrele inventate cu date reale. Când cineva scrie „probabilitate 3 din 5” pentru un eveniment despre care nu are niciun istoric, cifra aia e o părere îmbrăcată în costum. Nu e greșit să folosești estimări, dar e periculos să uiți că sunt estimări.
A doua condiție e să ții cont de cine face evaluarea. Un director financiar și un șef de producție vor nota diferit același risc, iar diferența dintre notele lor e adesea mai informativă decât media lor.
Evenimentele rare care schimbă tot
Există o categorie de riscuri care strică orice matrice. Probabilitate mică, impact devastator. Un incendiu major. O pierdere totală a datelor. Un accident de muncă grav.
Logica statistică zice că nu merită să investești mult în ceva ce se întâmplă o dată la douăzeci de ani. Logica supraviețuirii zice altceva. Dacă evenimentul te scoate definitiv din joc, probabilitatea lui nu mai contează la fel de mult. Pentru astfel de scenarii, întrebarea corectă nu e „cât de des se întâmplă”, ci „supraviețuiesc dacă se întâmplă o singură dată”.
Ce faci cu un risc odată ce l-ai identificat
Manualele vorbesc despre patru direcții, și, oricât de școlăresc ar suna, împărțirea chiar ajută în practică.
Poți evita riscul, adică renunți la activitatea care îl generează. E soluția cea mai radicală și cea mai rar aplicabilă. Nu îți muți depozitul din zonă doar pentru că zona are rată mai mare de infracționalitate.
Poți reduce riscul, ceea ce înseamnă că scazi fie probabilitatea, fie impactul. Aici intră aproape tot ce numim în mod obișnuit prevenție. Sisteme de alarmă, control acces, mentenanță la timp, instruirea oamenilor, proceduri clare, dublarea echipamentelor critice.
Poți transfera riscul, prin asigurare sau prin contract. Important de reținut, transferul nu face riscul să dispară. Mută consecința financiară, nu și pe cea operațională. Asigurarea îți plătește marfa arsă, dar nu îți aduce înapoi clienții pe care i-ai pierdut în cele trei luni cât ai fost oprit.
Și poți accepta riscul, conștient, cu ochii deschiși, pentru că îl consideri suportabil. Acceptarea informată e o decizie legitimă. Ignorarea nu e acceptare, e neglijență cu alt nume.
De ce prevenția costă puțin, iar improvizația costă enorm
Cifrele din practică sunt destul de constante, indiferent de domeniu. Un leu investit în prevenție economisește undeva între patru și zece lei în costuri de remediere. Raportul variază, dar direcția nu.
Problema e că prevenția nu produce nicio poveste. Nimeni nu povestește la o bere cum nu i-a ars depozitul. Investiția în siguranță e singura investiție al cărei succes se măsoară în lucruri care nu s-au întâmplat, și asta o face permanent vulnerabilă la tăieri de buget.
Îmi amintesc de un administrator de complex rezidențial care a scos paza de noapte ca să reducă cheltuielile de întreținere cu douăzeci și ceva de lei pe apartament. În trei luni au fost patru spargeri în boxe și un incendiu pornit de la o mașină. Costul reparațiilor și al asigurărilor majorate a depășit cu mult economia făcută. Nimeni nu a calculat asta la vot.
Intervenția, veriga care se vede abia când e prea târziu
Ajungem la partea despre care se vorbește cel mai puțin, deși e cea care decide dacă tot restul a avut sens.
Prevenția reduce șansele. Detecția anunță că s-a întâmplat ceva. Dar între momentul detecției și momentul în care ajunge cineva competent la fața locului se scurge un interval în care paguba crește liniar, uneori exponențial. Un incendiu la început poate fi stins cu un extinctor. Peste zece minute e nevoie de pompieri. Un hoț care are la dispoziție cinci minute ia ce apucă. Unul care are treizeci demontează sistemul, ia marfa și pleacă fără grabă.
Unde stau echipajele contează mai mult decât câte sunt
O greșeală frecventă în evaluarea unui serviciu de intervenție e să te uiți la numărul total de echipaje. Cifra sună bine în prezentare și spune aproape nimic despre timpul în care ajunge cineva la tine.
Ce contează cu adevărat e distribuția geografică. Zece echipaje concentrate în centrul Bucureștiului nu ajută pe cineva din Berceni sau din Popești Leordeni. Poziționarea inteligentă înseamnă acoperire distribuită, echipaje amplasate în funcție de densitatea obiectivelor și de topologia traficului, nu în funcție de unde se află sediul firmei.
În București și Ilfov, particularitatea e că distanța fizică minte constant. Trei kilometri pe Șoseaua Colentina la ora opt dimineața pot însemna mai mult decât cincisprezece kilometri pe centură la ora două noaptea. Un dispecerat care nu ține cont de asta calculează timpi teoretici care nu au legătură cu realitatea din teren. Firmele care lucrează serios pe zona asta, și aici includ echipajele Carpat Guard care acoperă Bucureștiul și județul Ilfov, își construiesc harta de acoperire pe date reale de deplasare, nu pe cercuri trasate cu compasul pe hartă.
Un detaliu care mi se pare subestimat este mobilitatea în interiorul turei. Echipajele care staționează fix, în același punct, opt ore, nu sunt echipaje de intervenție, sunt posturi mobile pe hârtie. Patrularea într-o zonă bine delimitată reduce, în medie, timpul până la obiectiv, pentru că echipajul e deja în mișcare când primește apelul.
Timpul de reacție, măsurat cinstit
Aici e mult marketing și puțină rigoare. „Intervenție în cinci minute” e o promisiune care nu înseamnă nimic dacă nu spui de unde se măsoară cele cinci minute.
Un timp de reacție onest se măsoară din secunda în care semnalul ajunge în dispecerat până în secunda în care echipajul e la poarta obiectivului. Nu de la momentul în care dispecerul termină verificarea. Nu de la momentul în care echipajul confirmă plecarea.
Am întrebat odată un manager de securitate cum își verifică furnizorul. Mi-a răspuns că se uită lunar în raportul de intervenții și compară timpii declarați cu ora de pe înregistrarea camerei de la poartă. Metodă simplă, la îndemâna oricui, și surprinzător de rar folosită. Vă recomand să o încercați, măcar o dată. Rezultatele sunt uneori educative.
Contează și consistența, nu doar media. Un serviciu care ajunge de obicei în șapte minute, dar o dată pe lună în patruzeci, e mai riscant decât unul care ajunge constant în zece. Media ascunde exact zilele în care ai avut ghinion.
Dispeceratul, locul unde se decide aproape totul
Dacă ar fi să aleg un singur element care face diferența între o intervenție bună și una proastă, aș alege dispeceratul. Nu echipamentul, nu numărul de oameni. Coordonarea.
Un dispecerat bun face, în câteva zeci de secunde, o serie de lucruri care par mărunte și nu sunt deloc. Filtrează alarmele false, care în multe sisteme reprezintă peste nouăzeci la sută din semnale, fără să întârzie alarmele reale. Verifică prin cameră sau prin apel către persoana de contact. Decide dacă trimite echipajul cel mai apropiat sau echipajul cel mai potrivit, care nu e întotdeauna același lucru. Anunță autoritățile atunci când situația o cere, și o face în paralel, nu după.
Aici se vede diferența dintre un dispecerat care e doar un birou cu monitoare și unul care funcționează ca un centru de comandă. Al doilea are proceduri scrise pentru fiecare tip de eveniment, are redundanță pe comunicații, are înregistrare completă a apelurilor și, cel mai important, are oameni antrenați să decidă rapid cu informație incompletă.
Un lucru pe care l-am observat des la clienți nemulțumiți de serviciile de pază, dar care nu știau să formuleze exact ce îi deranjează, e că problema nu era la echipaj. Era la veriga dintre semnal și echipaj. Omul de pe teren ajungea repede, dar pornea târziu.
Un plan care nu a fost testat nu e un plan
Documentele de management al riscului au un obicei neplăcut. Se scriu, se aprobă, se pun într-un dosar și rămân acolo până la următorul audit.
Exercițiile care nu se anunță
Un exercițiu anunțat cu două săptămâni înainte testează capacitatea organizației de a se pregăti pentru un exercițiu. Cam atât. Testele reale se fac fără preaviz, la ore incomode, în condiții imperfecte.
Nu trebuie să fie complicat. O simulare de alarmă la ora trei noaptea îți spune, în cinci minute, aproape tot ce ai nevoie să știi. Cine răspunde. În cât timp. Ce face. Dacă știe pe cine să sune mai departe. Dacă lista de contacte de urgență mai e actuală, ceea ce, din experiența mea, nu e aproape niciodată.
Am asistat la un astfel de test într-un depozit din nordul Capitalei. Din cinci numere de pe lista de urgență, două erau ale unor oameni care plecaseră din firmă. Lista fusese actualizată ultima dată cu doi ani în urmă. Nimeni nu observase, pentru că nimeni nu o folosise.
Ce înveți dintr-un incident
Fiecare incident, oricât de mic, e informație gratuită. Sau, mai corect spus, informație pentru care ai plătit deja și pe care ar fi păcat să nu o folosești.
Analiza post incident trebuie făcută repede, cât amintirile sunt proaspete, și cu o singură regulă clară. Se caută cauze, nu vinovați. În momentul în care oamenii simt că ancheta e o vânătoare, informația se oprește. Vor spune ce cred că vrei să auzi, iar tu vei rămâne cu o concluzie confortabilă și falsă.
Monitorizarea și obiceiul de a nu te culca pe o ureche
Riscurile nu stau pe loc. Se schimbă odată cu firma, cu zona, cu piața, cu oamenii. Un plan bun acum trei ani poate fi complet nepotrivit azi, mai ales dacă între timp ai deschis un punct de lucru nou, ai schimbat furnizorul principal sau ai trecut de la cinci la treizeci de angajați.
Revizuirea periodică nu trebuie să fie un proiect. O oră pe trimestru, în care te uiți peste lista de riscuri și te întrebi ce s-a schimbat, e suficient pentru majoritatea organizațiilor mici și medii. Ce a apărut nou. Ce nu mai e valabil. Ce am subestimat.
Câțiva indicatori merită urmăriți constant, pentru că se degradează pe nesimțite. Numărul de alarme false, care, dacă crește, înseamnă că sistemul are o problemă tehnică sau că oamenii îl folosesc greșit. Timpul mediu de intervenție, comparat lună de lună. Rata de finalizare a mentenanței planificate. Numărul de incidente minore, care e cel mai bun indicator anticipativ pentru un incident major.
Greșelile care se repetă aproape peste tot
Prima și cea mai comună e sistemul cumpărat și uitat. Alarma instalată în 2019, la care nimeni nu a mai schimbat bateria de la senzori, e o alarmă decorativă.
A doua e concentrarea pe un singur tip de risc. Firme care au securitate fizică impecabilă și nicio politică de parole. Sau invers, companii cu infrastructură IT solidă și o ușă de serviciu care se închide cu o bucată de sârmă.
A treia e dependența de o singură persoană. Când tot ce ține de siguranță e în capul unui singur om, riscul principal al organizației e că omul acela pleacă, se îmbolnăvește sau, pur și simplu, e în concediu în ziua greșită.
A patra, și poate cea mai costisitoare, e alegerea furnizorului exclusiv după preț. Diferența dintre două oferte de pază poate părea mare pe hârtie. Devine irelevantă în prima noapte în care ai nevoie de cineva care chiar ajunge.
Cum arată o gestionare a riscurilor care chiar funcționează
Nu arată spectaculos. Asta e, probabil, cel mai contraintuitiv aspect al întregii discuții.
Arată ca o listă actualizată de riscuri, pe care câțiva oameni o revizuiesc din când în când fără să facă din asta un eveniment. Arată ca un test surpriză pe trimestru, ca o listă de contacte care chiar funcționează, ca un contract de intervenție în care timpii sunt măsurați și verificați, nu doar promiși. Arată ca oameni care știu ce au de făcut fără să sune la șef.
Și, în cea mai mare parte a timpului, arată ca nimic. Ca o lună obișnuită în care nu s-a întâmplat nimic demn de povestit.
Omul cu depozitul de pe centură, apropo. A avut o tentativă de efracție într-o noapte de februarie, la vreo opt luni după discuția noastră. Între timp semnase un contract de monitorizare și intervenție. Echipajul a ajuns în mai puțin de zece minute, hoții plecaseră deja, dar nu apucaseră să treacă de al doilea rând de uși. Paguba, o încuietoare și o poartă zgâriată.
Mi-a povestit asta la telefon, râzând un pic jenat. „Dacă veneam eu, ajungeam la vreme să văd urmele de roți.” Cred că e cea mai bună definiție a gestionării riscurilor pe care am auzit-o de la cineva care nu lucrează în domeniu.
