Zvládáním, či managementem rizika se rozumí strategicky koordinované činnosti zaměřené na zvládání existujících rizik, které vyplývají z výskytu katastrof; zamezení vzniku nových rizik a ošetření zbytkového rizika, které přispívají k posílení resilience a snížení škod.

Jde o systematický a koordinovaný proces, který zahrnuje analýzu existujících nebo budoucích hrozeb, na jejímž základě se navrhuje adekvátní opatření pro minimalizování pravděpodobnosti vzniku nebo závažnosti dopadů hrozeb, tedy materializace rizika. Proces managementu rizik se skládá z několika vzájemně provázaných fází (obr. 1). Management rizik je univerzálním postupem pro všechny druhy rizika (technické havárie, společenské události, přírodní hrozby, kybernetické hrozby). V kontextu změny klimatu jsou většinou zvažována rizika vyplývající z přírodních hrozeb potenciálně ovlivněných změnou klimatických podmínek (byť prostřednictvím kaskádových jevů mohou řetězit i dopady v oblastech přímo klimatem neovlivněných), proto je v textu využito několik případů vztažených právě k hydrometeorologickým hrozbám.

První fází je stanovení kontextu managementu rizik, během níž je formulován cíl, vnitřní a vnější faktory, nutné podklady, odpovědnost, pravidla vyhodnocení rizika (stanovení úrovně přijatelnosti a nepřijatelnosti) a především vymezení hranice řešené oblasti, jíž se má proces managementu rizik v konkrétním případě zabývat. Lze si snadno představit, že výsledný kontext bude odlišný pro úlohu managementu rizik velké energetické společnosti zahrnující celostátní distribuční sítě na straně jedné a pro horskou obec na straně druhé.

Smyslem hodnocení rizik je získání informací o rizicích v rámci vymezeného kontextu. Posouzení rizik se skládá ze tří kroků: identifikace rizik, analýzy rizik a vyhodnocení přijatelnosti rizik.

Nejprve je nezbytné provést identifikaci rizik. Teoretický postup identifikace rizik sestává z tzv. identifikace, stanovení hodnoty a seskupení aktiv a z identifikace hrozeb a zdrojů hrozeb.

Aktivem se v terminologii managementu rizik rozumí cokoliv, co má pro danou společnost, organizaci nebo jednotlivce hodnotu. Aktivem může být nemovitost, zajištění zdravotních služeb, ale třeba i páteční sousedská setkání, nebo schopnost aktivního pohybu v přírodě (běhání pro radost).

Identifikace aktiv spočívá ve vytvoření seznamu všech aktiv, která působením hrozeb mohou být zásadně poškozena. Následně je posouzena hodnota aktiv prostřednictvím velikosti škody, která by vznikla způsobené poškozením, nebo ztrátou aktiva¹. Do této hodnoty se promítá nejen finanční ohodnocení (pokud je možné), ale i to, zda se jedná o aktivum jedinečné, nebo aktivum nahraditelné, nebo závislost na existenci aktiva, tedy k jakým škodám dojde v případě omezení fungování, než dojde k obnově aktiva (např. dodávky elektrické energie, nebo pohonných hmot).

Ve druhém kroku dochází k identifikaci hrozeb a jejich zdrojů, které mohou jakýmkoli způsobem ohrozit nebo poškodit alespoň jedno identifikované aktivum².

Analýza rizik navazuje na výsledky identifikace rizik a její proces zahrnuje celkem čtyři kroky.

Jako první je potřeba provést analýzu hrozeb a zranitelnosti, v rámci které se každá hrozba hodnotí vůči každému aktivu či skupině aktiv. Zjišťuje se, zda a nakolik je konkrétní aktivum ovlivněno konkrétní hrozbou³ a jaká je úroveň zranitelnosti⁴ vůči této hrozbě. Při této analýze se berou v úvahu i realizovaná opatření, která mohou snížit úroveň hrozby i úroveň zranitelnosti. Výsledkem analýzy rizika jsou dvojice „hrozba-aktivum“ se stanovenou úrovní hrozby a zranitelnosti.

V druhém kroku je uvedeným dvojicím přiřazen odhad závažnosti dopadů⁵, ve třetím pak pravděpodobnost vzniku dopadů⁶ v závislosti na zranitelnosti. Analýzu rizik je možné provést různými způsoby (kvalitativně, kategorizací, kvantitativně či kombinací technik) a v různé podrobnosti.

Čtvrtou fází je odhad úrovně rizika. Způsob, jakým jsou dopady a pravděpodobnost vzniku vyjádřeny za účelem stanovení úrovně rizika, se odvíjí od druhu rizika a podle účelu k čemu dané výstupy posuzování rizika budou určeny. Obvykle bývá úroveň rizika (R) vypočtena jako součin závažnosti dopadu (D) a pravděpodobnosti výskytu dopadu (P)

Cílem navazující etapy vyhodnocení přijatelnosti rizik je zjistit, zda je úroveň rizika přijatelné, nebo bude nutné riziko aplikací opatření snížit. Pro takovouto klasifikaci je obvykle využita tzv. matice rizik (obr. 2), která umožňuje určit priority, kterým je přednostně nutné věnovat pozornost.

Mitigace rizik spočívá v návrhu a následné realizaci opatření pro snížení rizika. Existují čtyři obecné možnosti jak riziko snížit: vyhnutí se riziku, transfer, retence a redukce. Vhodnost každého nástroje vždy záleží na dané situaci a riziku samotném, nicméně obecně jsou jednotlivé z možností vhodnější pro určité kombinace pravděpodobnosti vzniku a velikosti dopadů (viz obr. 3).

Transfer rizika je proces formálního či neformálního přenesení finančních dopadů konkrétního rizika z jedné entity na jinou, přičemž domácnosti, komunity, organizace či stát získá prostředky od jiné strany v případě výskytu katastrofy výměnou za předchozí, průběžné či kompenzační sociální či finanční výhody. Transfer rizika např. ve formě pojištění je nejvhodnější implementovat pro rizika, charakterizovaná vysokým dopadem a nízkou pravděpodobností. Potenciální dopad je sice vysoký, ale pravděpodobnost, že vznikne, je nízká.

V případě rizik s vysokým dopadem a vysokou pravděpodobností je vhodné se danému riziku vyhnout⁷, nebo jej redukovat⁸. V případě redukce rizika je nutné dobře vyhodnotit možnost snížení velikost nebo pravděpodobnost vzniku dopadu na přijatelnou úroveň a náklady na její provedení⁹.

Prostřednictvím retence (tedy akceptace a vytvoření zdrojů pro pokrytí dopadů) jsou řešena rizika, charakterizována malým dopadem a většinou i malou pravděpodobností vzniku, jejichž „finanční“ dopad je téměř bezvýznamný¹⁰.

Rizika, která jsou charakterizována velkou pravděpodobností a malým dopadem, se nejlépe řeší pomocí prostřednictvím retence a redukce. Vysoká pravděpodobnost s nízkým dopadem není nákladově vhodná pro transfer rizika¹¹, proto je vhodnější zvolit retenci rizika, nebo redukci rizika, která dále sníží velikost dopadů.

Volba konkrétního opatření pro snížení rizik však musí být vždy posouzena v konkrétních podmínkách a situaci, kdy obecné rozřazení postupů nemusí platit.

Většinu rizik nelze zcela odstranit - absolutní bezpečnost (bezrizikovost) neexistuje. V případě některých rizik pak náklady na jejich redukci jsou tak velké, že jejich vynaložení by bylo neefektivní. Často přitom křivka nákladů má exponenciální průběh – znamená to, že redukce rizika na polovinu může být relativně levná a efektivní, další redukce na polovinu je již mnohem nákladnější atd.

Proto je nutné pracovat s konceptem tzv. přijatelného rizika, tedy s mírou rizika, kterou je připraven přijmout každý ohrožený jednotlivec nebo společnost. Úroveň přijatelného rizika je přitom proměnná v čase i prostoru v závislosti na sociálních, ekonomických, politických a environmentálních podmínkách. Můžeme pozorovat, že míra přijatelného rizika v rozvinuté společnosti dlouhodobě klesá.

I po přijetí opatření k mitigaci rizik tedy riziko zcela nemizí, ale zůstává v podobě tzv. zbytkového rizika. Například i po výstavbě protipovodňové hráze zůstává určitá míra rizika v podobě (malé) pravděpodobnosti protržení hráze a zaplavení území, které měla hráz ochránit. Takové zbytkové riziko již nelze dále efektivně redukovat, mělo by však být v rámci systému managementu rizik monitorováno a přezkoumáno (zda jeho úroveň zůstává přijatelná) a současně by mělo být komunikováno a vysvětleno potenciálním recipientům dopadů při jeho realizaci.