Postupak
- Utvrditi što se procjenjuje: mjesta rada i poslovi, obrade osobnih podataka, informacijski sustavi ili poslovni odnosi sa strankama.
- Utvrditi opasnosti i prijetnje, primjerice ozljede na radu, neovlašteni pristup podacima, napad ransomwareom ili pranje novca.
- Procijeniti vjerojatnost i posljedice te odrediti razinu svakog rizika.
- Odrediti mjere za uklanjanje ili smanjenje rizika i osobe odgovorne za njihovu provedbu.
- Dokumentirati procjenu i ažurirati je kad se promijene okolnosti.
Razina rizika često se određuje matricom rizika:
| Vjerojatnost / posljedice | male | srednje | velike |
|---|---|---|---|
| velika | srednji | visok | visok |
| srednja | nizak | srednji | visok |
| mala | nizak | nizak | srednji |
Procjena rizika na radu
Svaki poslodavac mora procjenjivati rizike za život i zdravlje radnika, osobito u odnosu na sredstva rada, radni okoliš, organizaciju rada, noćni rad i psihičko radno opterećenje (čl. 18. Zakona o zaštiti na radu). Procjena mora biti u pisanom ili elektroničkom obliku, odgovarati stvarnim rizicima i biti dostupna radniku na mjestu rada. U njezinu izradu uključuju se radnici ili njihovi predstavnici. Uvjete, način i metodu izrade propisuje Pravilnik o izradi procjene rizika. Na temelju procjene poslodavac određuje mjere zaštite i osposobljava radnike za rad na siguran način.
Koji propisi traže procjenu rizika
| Propis | Tko | Što se procjenjuje |
|---|---|---|
| Zakon o zaštiti na radu (čl. 18.) | svaki poslodavac | rizici za život i zdravlje radnika |
| GDPR (čl. 32. i 35.) | voditelji i izvršitelji obrade | rizici za prava i slobode ispitanika; za obradu koja vjerojatno uzrokuje visok rizik provodi se procjena učinka (DPIA) |
| Zakon o kibernetičkoj sigurnosti (čl. 26. i 27.) | ključni i važni subjekti | rizici za mrežne i informacijske sustave, prema kojima se određuju mjere upravljanja kibernetičkim sigurnosnim rizicima |
| Zakon o sprječavanju pranja novca i financiranja terorizma (čl. 12. i 14.) | obveznici, primjerice banke, vanjski računovođe i agencije za nekretnine | rizik od pranja novca i financiranja terorizma za poslovanje obveznika i za svaku stranku |
| Zakon o kritičnoj infrastrukturi (čl. 22.) | kritični subjekti | rizici koji bi mogli poremetiti pružanje ključnih usluga; prva procjena u roku od devet mjeseci od obavijesti, zatim najmanje svake četiri godine |
Primjer
Računovodstveni ured s deset zaposlenika ima procjenu rizika na radu za uredske poslove i rad na računalu. Kao obveznik Zakona o sprječavanju pranja novca i financiranja terorizma izrađuje analizu rizika od pranja novca i procjenjuje rizik svake nove stranke. Za obradu podataka o plaćama zaposlenika svojih klijenata procjenjuje rizike za sigurnost podataka i prema njima uvodi mjere, primjerice dvofaktorsku autentifikaciju i šifriranje.