Operational risk assessment exercise and process proposition

Abstract

The case company is a large organization with several thousand employees, and thesis study was conducted for its ICT department. The business challenge was to build a proposition of an operational risk assessment process for the case department and carry it out. Therefore, the intended outcome of the thesis study was the risk assessment process proposition and documented risks.

The thesis study was executed as a case study and consists of the current state analysis, review on the existing knowledge and formation of the solution. Interviews with the management of the case department and its customer department and internal documentation were used for the current state analysis. Existing knowledge and best practice were chosen for further study based on the weaknesses identified in the current state analysis. The theory part covers basic concepts of risk management and the risk assessment process. In addition, the best practice on implementing the risk management process was explored in order to design the process easy to adopt. Based on the theory and the needs of the case department, the process proposition was built. This was done in two iterations, simultaneously piloting proposed process by performing the risk assessment in the case department.

The outcome of this thesis study is the process proposition and documentation of the conducted risk assessment. The latter one provides visibility into case department risk environment and a valuable input into the development of decision-making activities. The process proposition enables running regular risk assessment in the future, which is aligned with the strategy of the whole organization and supports achieving goals of the case department.

The outcome of the thesis study meets the needs of the case department and appears as intended. The department was satisfied with the results and utilized them in their development activities immediately.

Kohdeyritys on iso useita tuhansia työntekijöitä työllistävä organisaatio ja työ tehtiin sen ICT-osastolle. ICT-osasto palvelee yhtä konsernin liiketoiminnoista. Osaston liiketoimintahaasteena oli epäsäännöllinen ja puutteellinen operatiivisten riskien riskienhallintaprosessi ja näin ollen puutteellinen tietoisuus sen olemassa olevista riskeistä. Työn tavoite oli suorittaa operatiivisten riskien kartoitus ja arviointi, sekä laatia prosessiehdotus tulevaisuutta varten. Lopputuloksena olivat dokumentoidut riskitaulukot ja teorian sekä tavoitteiden ja kartoituksen pohjalta laadittu riskiarvioinnin prosessi.

Työ toteutettiin tapaustutkimuksena. Se koostuu nykytila-analyysista, tutustumisesta olemassa olevaan tietoon sekä ratkaisusta. Nykytila-analyysi tehtiin usean haastattelun ja sisäisen dokumentaation pohjalta. Haastateltiin sekä ICT-osaston että sen asiakasliiketoiminnan työntekijöitä. Tunnistettiin osaston riskienhallintaan liittyvät vahvuudet ja heikkoudet. Jälkimmäisiin perustuen valittiin tarpeellinen kirjallisuus riskienhallinnan prosessista ja sen implementoinnista. Ratkaisu rakennettiin perustuen kirjallisuudesta opittuun tietoon ja kohdeosaston tarpeisiin. Tämä tehtiin kahdessa iteraatiossa, joissa molemmissa pilotoitiin ehdotettu prosessi suorittamalla riskikartoitus ja –arviointi kohdeosastossa.

Lopputuloksena on syntynyt dokumentaatio olemassa olevista riskeistä ja niiden arvioinneista, joka on arvokas panos kohdeosaston päätöksentekoon, investointipäätöksiin ja kehitystyöhön. Organisaation tavoitteiden mukaisia säännöllisiä riskiarviointeja tukee tässä työssä ehdotettu riskiarviointiprosessi. Tämä auttaa kohdeosastoa saavuttamaan tavoitteensa operatiivisten riskien pienentämisessä.

Työn lopputulos vastaa hyvin kohdeosaston tarpeisiin ja alussa asetettuun tavoitteeseen. Kohdeyritys oli tyytyväinen työhön ja työn lopputulokset otettiin heti käyttöön kehitystyössä